Symantec Endpoint Security Adaptive Protection phát hiện và phòng chống hành vi nguy hại thế nào?

Th12 10, 2023 | Kiến Thức, Security

Symantec (SES) Adaptive Protection phát hiện hành vi gây hại. Phân tích mã độc tiềm ẩn trong ứng dụng phổ biến. Đề xuất hướng xử lý an toàn vẫn đảo bảo năng suất làm việc.

Bài viết được phát hành vào năm 2023, được viết bởi VinSEP.com. Chúng tôi chuyên cung cấp bản quyền phần mềm Microsoft, Autodesk, Adobe, Foxit, Symantec chính hãng.

Tất tần tật khả năng Symantec Endpoint Security Adaptive Protection

Tính năng Adaptive Protection của Symantec Endpoint Security chống lại các dạng kỹ thuật tấn công thế hệ mới. Giúp phân tích hành vi phân biệt hành vi gây hại cho doanh nghiệp. Đề xuất cách xử lý tốt nhất theo tiêu chuẩn bảo mật.

Các thuật ngữ bảo mật liên quan tính năng Symantec Adaptive Protection

Bao gồm các khái niệm về Symantec Endpoint Security Adaptive Protection và các khái niệm bảo mật khác. “Living off the land”,”Dual use Tool”, “Attack Surface” hay MITRE ATT&CK.

Symantec Adaptive Protection là gì?

Đây là tính năng giúp Doanh nghiệp phòng chống các dạng tấn công chủ đích targeted attack.

• Trước hết, Adaptive Protection sử dụng engine kết hợp dữ liệu bảo mật và chuyên gia của Symantec. Nhằm phân tích hành vi phổ biến, các công cụ, kỹ thuật thông thường trong Doanh .
• Tiếp theo, giúp thiết lập các quy tắccho từng môi trường làm việc cụ thể. Ra quyết định chặn hay cho phép thực thi dựa trên phân loại hoặc hành vi cụ thể. Từ đó có thể xác định công cụ và hành vi của kẻ tấn công.
• Xác định rõ các hành vi bất thường trong môi trường làm việc và tự động phát hiện các hành vi đe dọa.

Symantec Endpoint Security Adaptive Protection giúp tự động hóa và điều chỉnh các biện pháp bảo mật dựa trên kinh nghiệm bảo mật. Cung cấp cách ngăn chặn các cuộc tấn công và bảo vệ các endpoint một cách hiệu quả.

Các khái niệm bảo mật khác

• Living off the land (LOTL). Đây là một chiến lược tấn công sử dụng các công cụ có sẵn của thiết bị để xâm nhập. Kỹ thuật này sẽ không cần phải triển khai các phần mềm độc hại nào từ bên ngoài. Các công cụ có sẵn là các phần mềm được phép cài trên thiết bị trong doanh nghiệp. Rất khó để phát hiện chúng, chỉ có thể nhận thấy các hành vi bất thường của chúng.
• Dual use Tool. Thường là các phần mềm dùng cho mục đích tốt các việc hệ thống như PowerShell, Command Line hay WMI. Hay những phần mềm văn phòng thông dụng bị lỗ hổng bảo mật. Khi đó, kẻ tấn công sử dụng hoặc tận dụng thực thi hành vi gây hại.
• Attack Surface. Đó là những điểm yếu mà kẻ tấn công có thể tận dụng để xâm nhập hoặc tấn công. Các phần mềm thường có lỗ hổng bảo mật trong mã nguồn, cổng giao tiếp, hoặc lỗ hổng quản trị. Hoặc các lỗ hổng trong phân quyền, mật khẩu yếu cũng được xem là Attack Surface.
• MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge). Đây là một bảng dạng khung mô tả và phân loại các kỹ thuật và thủ thuật tấn công. Giúp xác định kẻ tấn công sử dụng phương thức thế nào trong quá trình tấn công mạng. Dựa theo mục tiêu “tactics” và kỹ thuật “techniques”, để xác định cách thức tấn công. Kết hợp với kết quả thu thập của Symantec Adaptive Protection giúp dễ dàng đưa ra các quyết định chính xác.

Vì sao cần trang bị Adaptive Protection?

Phân tích dựa trên mối nguy hiện thời đại và các lợi ích thiết thực bảo vệ cho Doanh Nghiệp.

Mối nguy hại hiện đại

Kỹ thuật tấn công “Living Off The Land” trở nên phổ biến này từ năm 2019, và có xu hướng tăng mạnh từ 2022. Lý do chính là vì nó lợi dụng các công cụ “Dual UseTool” phổ biến trên thiết bị. Dựa vào khả năng tạo ra cuộc tấn bằng cách tận dụng Dual use Tool ngay trong môi trường doanh nghiệp.

Đứng đầu danh sách bị lợi dụng là phần mềm hữu ích PowerShell. Ngoài ra, còn có Excel, Acrobat Reader, hay phần mềm nén hoặc giải nén tệp. Tất cả đều là phần mềm phổ biến cài đặt trên các endpoint,quan trọng hơn đều có thể được sử dụng với mục đích xấu nên tăng nguy cơ tấn công.

Để giải quyết vấn đề này, thông thường là sẽ cấm hình thức Whitelist hoặc Blacklist các ứng dụng này. Nhưng sẽ làm giảm hiệu quả khi cần phần mềm để thực thi các việc hợp lệ.

Một cách giải quyết khác là sử dụng công nghệ EDR. Nhưng EDR chỉ đặt cảnh báo mỗi khi kẻ tấn công thực hiện một trong những kỹ thuật này. Cần phải xem xét xem hành vi đó có hợp lệ hay có nguy cơ hay không thường mất nhiều thời gian và công sức để xử lý. Có thể dẫn đến quá tải, mệt mỏi cho đội ngũ IT.

Đặc điểm chính của Adaptive Protection

Symantec giới thiệu một phương pháp mới là adaptive protection.

• Sử dụng khả năng Machine Learning để học và hiểu hành vi của môi trường. Adaptive Protection sẽ tự động tìm hiểu các hành vi phổ biến, xác định các công cụ, kỹ thuật thông thường trong môi trường.
• Adaptive protection của Symantec giúp giảm Attack Surface bằng cách chặn hành vi và công cụ có thể được sử dụng bởi kẻ tấn công để thâm nhập và tấn công mạng lưới.
• Phân tích hành vi (Behavior Analysis). Xác định các hành vi bất thường trong môi trường và tự động phát hiện các hành vi đe dọa.
• Cung cấp khả năng tạo và thiết lập các quy tắc tùy chỉnh cho từng doanh nghiệp cụ thể. Từ việc chặn hoặc cho phép hành vi thực thi, nhưng vẫn bảo vệ mạnh mẽ.

Lợi ích của việc triển khai Adaptive Protection

• Phát hiện và ngăn chặn. Bao gồm phát hiện hành vi bất thường và nhận diện các mã độc trong tệp không mong muốn.
• Tính linh hoạt và tự điều chỉnh. Cho khả năng thích nghi với các mô hình tấn công mới, đồng thời tăng/giảm hiệu suất giúp hệ thống hoạt động mạnh mẽ dựa trên thông tin thu thập được.
• Hệ thống bảo vệ toàn diện. Tích hợp thông tin từ nhiều nguồn để cung cấp góc nhìn rõ ràng hơn. Ap dụng kiến thức & thông tin từ Mitre ATT&CK, nhận diện các mẫu tấn công, mô hình tấn công. Giúp phát triển các cơ chế mới để phát hiện và ngăn chặn các mô hình tấn công tiềm ẩn và kỹ thuật mới của hacker.

Một số chủ đề liên quan Symantec Endpoint Security:

• Symantec Endpoint Security bảo vệ thiết bị doanh nghiệp thế nào?
• Tư vấn trang bị bản quyền Symantec cho doanh nghiệp
• Gia hạn Symantec Endpoint Protection 14
• So sánh Symantec Endpoint Security và Endpoint Protection

Cần tư vấn về tính năng Adaptive Protection, hãy liên hệ với chúng tôi:

Symantec Endpoint Security ngăn chặn tấn công thế nào?

Th12 3, 2023 | Kiến Thức, Security

Các kỹ thuật tiên tiến giúp Symantec Endpoint Security ngăn chặn tấn công, prevent attacks, nhằm vào hệ thống máy tính của doanh nghiệp.

Bài viết được phát hành vào năm 2023, được viết bởi VinSEP.com. Chúng tôi chuyên cung cấp bản quyền phần mềm Microsoft, Autodesk, Adobe, Foxit, Symantec chính hãng.

Các bài viết khác liên quan chủ đề Symantec Endpoint Security:

• Symantec Endpoint Security bảo vệ thiết bị doanh nghiệp thế nào?
• Tư vấn trang bị bản quyền Symantec cho doanh nghiệp
• Gia hạn Symantec Endpoint Protection 14
• So sánh Symantec Endpoint Security và Endpoint Protection

Bài viết được phát hành vào năm 2023, được viết bởi VinSEP.com. Chúng tôi chuyên cung cấp bản quyền phần mềm Microsoft, Autodesk, Adobe, Foxit, Symantec chính hãng.

Công nghệ bảo vệ máy trạm bị tấn công – Symantec Prevent Attacks Endpoint

Symantec Endpoint Security ngăn chặn các cuộc tấn công vào endpoint với ba công nghệ riêng biệt. Tạo nên giải pháp bảo mật endpoint mà hầu hết các đối thủ cạnh tranh chưa cung cấp.

Bảo vệ kết nối & hệ thống mạng – Secure Connection and Network Integrity

Symantec Endpoint Security cung cấp bảo vệ chống lại các mạng Wi-Fi không an toàn. Giúp bảo mật kết nối, ngăn chặn các mối đe dọa đến thiết bị/endpoint. Tính năng này đảm bảo kết nối được mã hóa kể cả các mạng không an toàn, kết với VPN thông minh.

Đặc điểm bảo vệ kết nối và hệ thống mạng – Symantec Prevent Attacks Endpoint

Tính năng bảo vệ trước mối đe dọa khi nhân viên kết nối vào mạng Wi-Fi trong và ngoài doanh nghiệp.

• Khi nhân viên kết nối tới một mạng không an toàn, Symantec ngăn chặn tấn công thiết bị này. Giúp ngăn chặn các mối đe dọa từ mạng Wi-Fi giả/nhái hoặc các cuộc tấn công loại man-in-the-middle. Các tấn công có thể lấy cắp thông tin, và de dọa dữ liệu quan trọng. Các thông tin cá nhân của người dùng bị lấy cắp khi họ tưởng không có mối nguy hiểm nào. Công nghệ này hoạt động kết hợp với VPN thông minh. Giúp đưa lưu lượng truy cập từ mạng không an toàn về một điểm mạng an toàn. Đảm bảo không ai có thể tấn công thiết bị của nhân viên trong quá trình này.
• Locations and location awareness. Công nghệ này tích hợp thông tin vị trí địa lý để cung cấp dịch vụ an toàn tốt hơn. Nó nhận dạng vị trí của người dùng, từ đó cung cấp các cấu hình bảo mật linh hoạt dựa trên nơi họ đang kết nối.
• Content Tabulation and Attack Prevention cung cấp khả năng phân tích lưu lượng. Ngăn chặn tấn công điều hướng liên kết hoặc tải xuống tệp gây hại.

Trường hợp điển hình Symantec Endpoint Security ngăn chặn tấn công Endpoint

• Ví dụ. Các nhân viên phòng bán hàng của công ty thường làm việc từ xa và thường xuyên sử dụng các mạng Wi-Fi công cộng ở quán cà phê hoặc sân bay. Sử dụng Symantec Endpoint Security, bảo vệ thiết bị khi truy cập mạng không đáng tin cậy bên ngoài. Ngăn việc truy xuất dữ liệu bán hàng hoặc cố gắng tấn công theo phương pháp “man-in-the-middle”.
• Lợi ích. Đội bán hàng có thể làm việc mà không lo sợ bị gián đoạn dữ liệu hoặc lộ thông tin. Vì được đảm bảo an toàn và quyền riêng tư của thông tin bí mật về bán hàng.

Ngăn chặn Xâm nhập – Intrusion Prevention

Công nghệ này chặn khoảng 90% các cuộc tấn công trước khi chúng đạt tới hệ thống mạng. Đây là một cơ chế phòng thủ hiệu quả, giảm thiểu cần phải điều tra sau cuộc tấn công. Intrusion Prevention System (IPS) sử dụng signature, generic signature để phát hiện lỗ hổng và chặn một cách hiệu quả.

Đặc điểm IPS – Symantec giúp bảo vệ endpoint

• Intrusion Prevention System (IPS) là gì? IPS là một công nghệ giúp ngăn chặn các cuộc tấn công mạng. Công nghệ này đã tồn tại trong một thời gian dài và rất chính xác. Không làm chậm hoạt động của máy tính (low impact) mà lại mang lại hiệu quả cao.
• Khả năng ngăn chặn trước khi tấn công tiếp cận hệ thống thế nào?. IPS của Symantec có khả năng ngăn chặn khoảng 90% các cuộc tấn công trước khi tới hệ endpoint. Nghĩa là những cuộc tấn công này không thể thực thi bất kỳ mã độc máy tính. Chặn sớm quá trình tấn công giúp giảm thời gian điều tra về các mối đe dọa sau khi chúng đã gây tổn thương cho máy tính.
• Sử dụng các signature hoặc generic signatures. IPS của Symantec ngăn chặn bất kỳ mối đe dọa mới nào sử dụng lỗ hổng để tấn công.

Trường hợp điển hình – IPS của Symantec Endpoint Security ngăn chặn tấn công Endpoint

• Ví dụ: Máy chủ doanh nghiệp thường xuyên là mục tiêu của mã độc. Hoặc mục tiêu của những tấn công cố gắng truy cập trái phép. IPS của Symantec sẽ nhận biết và chặn những cuộc tấn công này trước khi chúng đạt tới máy chủ.
• Lợi ích: Khi ngăn chặn được cuộc tấn công trước khi chúng vào máy chủ. Giúp công ty bảo vệ dữ liệu và tránh lộ dữ liệu kinh doanh như thông tin khách hàng.

Tường lửa – Symantec Prevent Attacks Endpoint

Tường lửa của Symantec cung cấp kiểm soát chi tiết. Không chỉ giới hạn ở các cổng TCP và UDP mà mở rộng đến các loại khung Ethernet. Tường lửa có thể dựa trên các quy tắc, có thể thích nghi dựa trên vị trí, ứng dụng và loại adapter, cung cấp cấu hình bảo mật nâng cao dựa trên môi trường mạng. Tường lửa của Symantec có thể ngăn chặn các loại tấn công cụ thể, ngay cả từ các máy kép mà có thể tránh qua tường lửa viền.

Đặc điểm công nghệ tường lửa giúp Symantec Prevent Attacks

• Tường lửa với kiểm soát chi tiết (granular control). Tường lửa của Symantec chặn các cổng TCP và UDP và có khả năng viết các quy tắc để kiểm soát Ethernet frame type level. Liên kết quy tắc tường lửa theo ứng dụng hoặc vị trí thiết bị kết nối. Như khi kết nối vào mạng doanh nghiệp, nới lỏng các tham số bảo mật hơn khi người dùng ra khỏi mạng doanh nghiệp. Tường lửa có thể thực thi quy tắc để chỉ cho phép lưu lượng mạng mong muốn.
• Tường lửa dựa trên card mạng (adapter-based firewall). Đây là một trong số ít tường lửa có khả năng tạo ra các quy tắc dựa trên card mạng. Ngăn chặn các loại tấn công cụ thể mà không ai khác có thể làm được. Khi kết nối cả Ethernet và Wireless, trở thành một máy tính có hai kết nối mạng. Người dùng này có thể vượt qua tường lửa mạng và truy cập dữ liệu từ mạng cục bộ rồi gửi qua Wi-Fi mà không bị phát hiện.
• Tính hiệu quả và dễ cấu hình. Tường lửa của Symantec rất hiệu quả và dễ cấu hình. Nó đã được tích hợp vào sản phẩm từ ngày đầu.

Trường hợp điển hình – Firewall của Symantec Prevent Attacks Endpoint

• Ví dụ: Doanh nghiệp có nhân viên thường xuyên chuyển đổi giữa làm việc tại văn phòng và làm việc từ xa. Khả năng tường lửa của Symantec cho phép quản trị viên thiết lập các chính sách bảo mật khác nhau dựa trên địa điểm. Khi nhân viên ở văn phòng, một số hạn chế tường lửa có thể được nới lỏng, nhưng khi họ sử dụng mạng công cộng, các chính sách nghiêm ngặt sẽ được áp dụng.
• Lợi ích: Tính linh hoạt này đảm bảo rằng các giao thức bảo mật được điều chỉnh một cách linh hoạt, tăng cường an ninh mạng và đồng thời tạo điều kiện cho năng suất làm việc.

KẾT LUẬN

Symantec Endpoint Security ngăn chặn tấn công với bộ ba công nghệ bảo mật toàn diện. Các công nghệ này hoạt động cùng nhau để ngăn chặn các cuộc tấn công một cách tích cực. Mang lại lợi thế bằng việc đảm bảo an ninh cho thiết bị nhân viên, hoặc máy chủ trước khi các cuộc tấn công tiềm ẩn làm tổn thương hệ thống.

• Công nghệ của Symantec bảo vệ truy cập. Tận dụng thông tin vị trí và tính năng phân tích nội dung để cung cấp cấu hình bảo mật linh hoạt và hiệu quả hơn. Ngay cả khi người dùng đang kết nối từ các mạng không an toàn như Wi-Fi công cộng.
• Công nghệ IPS của Symantec Endpoint Security ngăn chặn các cuộc tấn công mạng một cách chính xác và hiệu quả. Cung cấp thêm khả năng nhìn thấy rõ ràng về các mối đe dọa đã bị chặn và hành động được thực hiện sau đó, giúp đỡ người quản lý mạng (như nhà phân tích SOC) trong việc giám sát và ứng phó với các cuộc tấn công một cách hiệu quả.
• Tường lửa của Symantec Endpoint Security không chỉ cung cấp mức độ kiểm soát cực kỳ chi tiết, linh hoạt và hiệu quả trong việc ngăn chặn các loại tấn công mạng cụ thể. Đặc biệt với khả năng áp dụng quy tắc theo ứng dụng, vị trí và loại card mạng, giúp tăng cường bảo mật cho hệ thống endpoint một cách toàn diện.

Trang bị Symantec Endpoint Security với các gói Symantec Endpoint Security Enterprise vs Complete để tận dụng các công nghệ Symantec Prevent Attacks kể trên.