EDR Expert

معرفی کامل Kaspersky Next EDR Expert

راهکار Kaspersky Next EDR Expert بهعنوان نسل پیشرفته محصولات حفاظت از نقاط پایانی و پاسخگویی به تهدیدات، با هدف ایجاد حفاظتی چندلایه در برابر تهدیدات سایبری، مقاوم سازی رایانه ها، کنترل و مدیریت برنامه ها، تجهیزات متصل، و همچنین ایجاد دید کامل نسبت به وقایع و رویدادهای مشکوک در سطح نقاط انتهایی و مقابله مؤثر با حملات پیچیده سایبری طراحی گردیده است.

این راهکار با تلفیق فناوریهای پیشرفته تشخیص تهدیدات، تحلیل رفتار، جمعآوری تلمتری و قابلیتهای پاسخگویی سریع، امکان شناسایی و مهار تهدیدات پیشرفته را در کوتاهترین زمان ممکن فراهم میسازد.
راهکار EDR Expert شامل دو حوزه حفاظت از نقاط پایانی (EPP ) و شناسایی و پاسخگویی به تهدیدات (EDR ) می گردد.

هر یک از ابزارهای مذکور نقشی حیاتی در برقراری امنیت در سطح نقاط پایانی ایفا می کنند.EPP با بهرهگیری از فناوریهای مبتنی بر هوش مصنوعی و یادگیری ماشین، موجب افزایش دقت در شناسایی تهدیدات پیچیده و نوظهور گردیده و با پایش مستمر تجهیزات متصل به شبکه شامل سرورها، ایستگاههای کاری و لپتاپها، امکان شناسایی رفتارهای مشکوک و جلوگیری از اجرای تهدیدات را فراهم مینماید.

همچنین EDR مجموعهای از ابزارهای شناسایی، مهار تهدیدات و پاسخگویی سریع به رخدادها را در اختیار تیم امنیت قرار میدهد تا در زمان وقوع حمله، اقدامات لازم به چابکی و با حداقل وابستگی به عملیات دستی انجام پذیرد.

قابلیت های کلیدی Kaspersky Next EDR Expert

محصول Kaspersky Next EDR Expert با بهره گیری همزمان از دو فناوری پیشرفته EPP و EDR در داخل یک ابزار، حداکثر حفاظت و امنیت را برای سامانه ها و ایستگاه های کاری سازمان به ارمغان آورده است. از مهمترین قابلیت ها و امکانات ارائه شده در این راهکار می توان به موارد زیر اشاره کرد:

حفاظت چندلایه در برابر تهدیدات گسترده

در لابراتوار کسپرسکی به طور روزانه بالغ بر 500،000 بدافزار جدید شناسایی می گردد. محصول ضدبدافزار کسپرسکی با بهرهگیری همزمان از محافظت مبتنی بر امضا ، تحلیلهای ابتکاری و رفتاری و فناوریهای مبتنی بر فضای ابری ، ایستگاههای کاری و سامانه های سازمان را در برابر بدافزارهای شناختهشده، ناشناخته و تهدیدات پیشرفته محافظت میکند.

فناوری تشخیص مبتنی بر الگو ضمن افزایش نرخ شناسایی تهدیدات، به کاهش حجم فایلهای بهروزرسانی نیز کمک میکند و در نتیجه، سطح بالایی از امنیت قابل اتکا را با مصرف بهینه پهنای باند ارتباطی فراهم میسازد.

امن سازی و مقاوم سازی رایانه ها و سرورها

محصول امنیت نقاط انتهایی یا EPP کسپرسکی مجموعه ای از قابلیت ها و امکانات مدیریت و کنترل رایانه ها را در اختیار مدیران شبکه قرار می دهد تا از طریق آن بتوان با امن سازی سیستم ها و اطلاعات کاربران، سطوح تهدیدات امنیتی را به میزان چشمگیری کاهش داد.

قابلیت های همچون رمزنگاری داده ها، شناسایی و اعمال وصله های امنیتی، محدود سازی اجرای برنامه ها، کنترل قطعات جانبی متصل و غیره تنها بخشی از قابلیت های این محصول به شمار می روند.

امنیت استفاده از فضای ابری

یکی از دغدغه های تیم های امنیتی سازمان ها، تبادل بدون نظارت اطلاعات کاربران در سرویس های ابری (Shadow IT) است. انتقال اطلاعات محرمانه شرکت به سرورهای ابری، ثبت اطلاعات غیرمجاز در سامانه های مبتنی بر هوش مصنوعی و غیره از نمونه مواردی است که در صورت عدم کنترل می تواند منجر به افشاء و نشت اطلاعات حساس سازمانی گردد.

قابلیت شناسایی سرویس های ابری مورد استفاده توسط کاربران می تواند تبادل اطلاعات با این سرویس ها را کنترل و محدود نماید. این فناوری کسپرسکی با پایش بیش از 2700 سرویس مختلف مبتنی بر ابر قادر است استفاده از این سامانه ها را به خوبی مدیریت نماید.

شناسایی و شکار تهدیدات پیشرفته (Threat Hunting)

وقتی صحبت از تهدیدات فوق پیشرفته نظیر APT ها، حملات هدفمند و حملات روز صفر به میان می آید، ابزارهای شناسایی خودکار دیگر به تنهایی قادر به شناسایی و مهار این تهدیدات نیستند. راهکار EDR کسپرسکی، مجموعه ای از ابزارها و فناوری های پیشرفته را در اختیار متخصصان امنیت قرار می دهد تا بتوانند تهدیدات پیشرفته و هدفمند را پیش از رخداد شناسایی کنند.

این ابزار با بهره گیری از EDR Agent پیشرفته خود قابلیت کاوش در عمق بر روی نقاط انتهایی را فراهم می کند. توسط این ابزار می توان به صورت پیش فعالانه به جستجوی سناریوهای نفوذ پرداخت و فعالیت های مشکوک را که می تواند یکی از مراحل حمله باشد شناسایی کرد.

ابزار EDR با جمع آوری اطلاعات مختلف از نقاط پایانی و ارسال آن در قالب تلمتری به سامانه مدیریتی خود، و با ارتباط دهی داده ها یا ماتریکس Mitre Att@ck، تحلیل و مقایسه رفتارهای مشکوک با پایگاه داده IoA، تیم شکار تهدیدات را قادر می سازد تا تهدیدات پنهان در حال وقوع را شناسایی کنند.

پاسخگویی به رخداد (incident Response)

ابزار EDR تنها برای شناسایی موارد مشکوک بکار نمی رود، بلکه از آن جهت پاسخگویی سریع به رخداد و مهار تهدیدات نیز استفاده می گردد. به عنوان مثال در صورت مشاهده فعالیت مشکوک بر روی یک سیستم، جهت مهار تهدید و جلوگیری از گسترش تهدید می توان با تنها یک کلیک سیستم مورد نظر را از شبکه ایزوله نمود و یا فایل آلوده را از سیستم قربانی حذف کرد.

فارنزیک

جمع آوری شواهد جهت اثبات نفوذ یکی از چالش های کسب و کارها می باشد. دارا بودن شواهد کافی در بازه زمانی قابل قبول جهت تشخیص و اثبات نفوذ لازمه تیم های امنیتی در سطح بالا و همچنین از الزامات سازمان های بالادستی و رگولاتوری ها می باشد. محصول EDR با جمع آوری و نگهداری شواهد مفید در بازه زمانی قابل تعیین در پایگاه داده خود این امکان را فراهم می کند که امر Forensic به سهولت انجام پذیرد.

خودکار سازی فرآیندها با Playbook

Playbook ها این قابلیت را در اختیار تیم امنیت قرار می دهند تا بتوانند برای برخی از فرآیندهای مشخص فرآیند ترسیم نموده و با تعیین شرایط خاص جهت پاسخگویی به رخدادها، این فرآیندهای پاسخگویی را خودکار سازی نمایند.

خودکار سازی این فرآیندها به تیم امنیت کمک می کند تا با سرعت و دقت بیشتری به تهدیدات پاسخ داده و خطای عملیاتی را به حداقل رسانند.

قابلیت های ارزش افزوده

در کنار قابلیت های کلیدی ذکر شده، راهکار یکپارچه EDR Expert کسپرسکی دارای مزایای دیگری نیز می باشد که از جمله میتوان به موارد زیر اشاره کرد:

ادغام با سامانه های دیگر

جهت تبادل اطلاعات و یا غنی سازی داده ها این راهکار می تواند با سامانه های زیر ادغام شده و اطلاعات مورد نیاز را دریافت و ارسال نماید.

مدیریت دارایی ها در EDR Expert

مدیریت داراییهای سازمانی و ایجاد فهرستی جامع و بهروز از تجهیزات و داراییهای فناوری اطلاعات، یکی از الزامات مهم در مدیریت زیرساخت، شبکه و امنیت سازمان به شمار میرود. آگاهی از وضعیت داراییهای سازمانی به تیمهای فناوری اطلاعات این امکان را میدهد تا دید کاملی نسبت به تجهیزات موجود، مشخصات سختافزاری و نرمافزاری، وضعیت بهروزرسانی سیستمها، نرمافزارهای نصبشده و غیرمجاز و همچنین وضعیت حفاظتی و سلامت هر یک از سیستمها داشته باشند.

راهکار EDR Expert با جمعآوری اطلاعات جامع مربوط به سیستمها، تجهیزات و نرمافزارهای موجود در سازمان، دید دقیقی از وضعیت داراییهای فناوری اطلاعات فراهم میکند. این قابلیت به سازمان کمک میکند ضمن شناسایی و پایش مستمر داراییها، تغییرات و وضعیت آنها را تحت نظارت داشته باشند. از مهمترین قابلیت های این سامانه می توان به موارد زیر اشاره کرد:

1. لیست Asset ها مانند سرورها، رایانه ها، لپتاپ ها، سیستم های ATM، تبلت ها و ... .
2. آدرس IP, MAC، اتصالات شبکه.
3. مشخصات سخت افزاری سیستم ها (Hardware Inventory).
4. مشخصات سیستم عامل، نرم افزارهای منصوب بر روی رایانه ها، آسیب پذیری ها، و ریسک ها.
5. لیست کاربران سیستم ها.
6. امکان دسته بندی Asset ها، ویرایش اطلاعات و جستجو بر حسب مؤلفه های فوق.

مقیاس پذیری و انطعاف در معماری

سامانه مدیریتی EDR Expert با بهره گیری از زیرساخت بر پایه میکروسرویس، این امکان را فراهم می آمورد تا با رشد و تغییرات در معماری شبکه، سامانه های مدیریتی نیز خود را با تغییرات تطبیق داده و نحوه چیدمان و ساختار سامانه را متناسب با وسعت شبکه تغییر داد.

ساختار Kubernetes ما را قادر می سازد تا در هر لحظه به صورت افقی و یا عمودی ظرفیت سامانه را افزایش داده و منابع مورد نیاز سامانه را تأمین کرد.

مؤلفه های اصلی سامانه

سامانه Kaspersky Next EDR Expert از 3 بخش اصلی تشکیل شده است که هر یک نقش مجزایی را در این سامانه ایفا می کنند که به شرح زیر است:

• OSMP - مرکز کنترل و راهبری سامانه، و محل اتصال تمامی اجزاء محصول.
• Sandbox - محل تحلیل عمیق بدافزارها
• EDR Agent - ابزار جمع آوری اطلاعات و ارسال تلمتری، پاسخگویی به رخدادها.

Open Single Management Platform

این سامانه پایگاه مرکزی و محل پردازش، تحلیل، شناسایی و پاسخگویی به رخدادهای امنیتی می باشد. این سامانه که توسط درگاه وب در دسترس کاربران قرار می گیرد، وظیفه جمع آوری، ارتباط دهی، طبقه بندی تهدیدات و فرآیند پاسخگویی به رخداد را بر عهده دارد. معماری منطقی این سامانه به شکل زیر است:

سامانه OSMP بر مبنای ساختار Kubernetes طراحی گردیده است. این معماری ما را قادر می سازد تا سامانه مدیریتی را با هر معماری متناسب با نیاز سازمان راه اندازی کنیم. مانند ساختار توزیع شده (Multitenancy) یا پیاده سازی به صورت سلسله مراتبی. همچنین در صورت نیاز می توان هر یک از بخش های سامانه را به صورت کلاستر پیاده سازی کرد، مانند پایگاه داده.

این سامانه همچنین می تواند مرکز مدیریت سامانه XDR نیز قرار گیرد. در این صورت، در صورت ارتقاء لایسنس ها به XDR Expert، نیاز به تغییر ساختار نبوده و از همین سامانه می توان جهت زیرساخت XDR استفاده کرد.

تمامی لاگ ها و تملتری ها، تنظیمات و پالیسی ها، مدیریت کاربران و تعیین سطوح دسترسی، ارتباط با سایر سامانه ها، ارتباط از طریق API و غیره توسط همین سامانه مدیریت می گردد.
این سامانه بر روی سرور لینوکس نصب گردیده و با توزیع های Debian و Oracle Linux سازگار است.

Built-in Sandbox

یکی از اجزاء کلیدی و پیشرفته در Kaspersky Next EDR Expert، سامانه Built-in Sandbox میباشد که با هدف تحلیل عمیق فایلها، اشیاء مشکوک و مقابله با تهدیدات ناشناخته طراحی شده است.

این فناوری با استفاده از الگوهای اختصاصی و ثبت شده Kaspersky، امکان اجرای ایزوله فایلها و بررسی رفتار آنها را در محیطی کنترلشده فراهم میسازد تا تهدیدات پیشرفته پیش از آسیبرسانی به زیرساخت سازمان شناسایی و مهار گردند. Sandbox قادر است فایلها و اشیاء مشکوک را شناسایی نموده و فعالیت آنها را در لایه های مختلف سیستمعامل، حافظه، شبکه و پردازشها بررسی نماید.

این قابلیت بهطور مؤثر با تکنیکهای Evasion که توسط بدافزارهای پیشرفته جهت مخفیسازی رفتار مخرب مورد استفاده قرار میگیرند مقابله کرده و امکان شناسایی تهدیدات پیچیده و ناشناخته را فراهم مینماید.
این فناوری در دو حالت Automatic و Manual قابل استفاده میباشد. در حالت خودکار، فایلها و اشیاء مشکوک بهصورت اتوماتیک توسط ایجنت EDR جهت تحلیل به Sandbox ارسال میشوند. همچنین کارشناسان امنیت میتوانند بهصورت دستی فایلها را از طریق Host یا رابط Web Interface بارگذاری و تحلیل نمایند. این موضوع انعطافپذیری بالایی را در فرآیند تحلیل تهدیدات و Incident Response در اختیار تیم امنیت قرار میدهد.

ماشین های مجازی سندباکس متشکل از سیستم عامل های مختلف مانند Windows 7, 10 و Linux Centos می باشد. همچنین در صورت نیاز می توان ایمیج های شخصی سازی شده به همراه نرم افزارهای اختصاصی خود را داخل ماشین های مجازی نصب کرد.

EDR Agent

ایجنت EDR وظیفه جمع آوری و ارسال اطلاعات از سطح نقاط انتهایی را بر عهده دارد. این اطلاعات در قالب Telemetry از سطح سیستم ها جمع آوری شده و به سمت سامانه مدیریتی (OSMP) ارسال می گردند. با اطلاعات جمع آوری شده از سمت نقاط پایانی، می توان به زنجیره وقایع بر روی سیستم ها و ارتباط آن ها با یکدیگر را مشاهده نموده، و همچنین در محیط تعاملی وب، به تعقیب و شکار تهدیدات مخفی و چند مرحله ای پرداخت. پس از جمع آوری اطلاعات توسط EDR، این اطلاعات در OSMP بررسی شده و در صورت کشف تهدیدات، می توان اقدامات خنثی سازی تهدیدات را انجام داد.

نحوه محاسبه و پوشش لایسنس

لایسنس راهکار امنیتی Kaspersky Next EDR Expert بر اساس تعداد کاربران محاسبه میشود. منظور از "کاربر" در این مدل لایسنس، مجموع کلاینتها، سرورها و کاربرانی است که از طریق Terminal Services به سیستمهای تحت حفاظت متصل میشوند.
هر واحد لایسنس Kaspersky Next EDR Expert ظرفیت پوشش موارد زیر را فراهم میکند:

1. ۱ واحد لایسنس برای هر لپتاپ، کامپیوتر، سرور یا ماشین مجازی مجهز به ابزارEndpoint Detection and Response
2. 1 واحد لایسنس برای هر لپتاپ، کامپیوتر، سرور یا ماشین مجازی مجهز به ابزار Endpoint Protection
3. ۲ واحد لایسنس برای دستگاههای موبایل تحت پوشش قابلیت Secure Mobility Management
4. ۱.۵ واحد لایسنس برای هر Mailbox تحت حفاظت قابلیت Security for Microsoft Office 365
5. تعداد نامحدود برای فایلها و اشیای مورد بررسی در Sandbox

بر این اساس، تعداد لایسنس مورد نیاز با توجه به تعداد و نوع تجهیزات، کاربران و سرویسهای تحت حفاظت در سازمان تعیین خواهد شد.