Главная мысль
Проверьте поддержку устройства, обновления и защитные меры; для IoT, где нельзя установить агент, предусмотрите отдельные меры защиты.
Что показывает проверка состояния устройства
Проверка состояния сопоставляет устройство с базовыми требованиями: установленными обновлениями, действующей защитой от вредоносного ПО, локальным межсетевым экраном и другими параметрами. Включайте ноутбуки, телефоны, планшеты, серверы и умные устройства. Для устройства, не отвечающего требованиям, определите порядок ограничения доступа, исправления и повторной проверки. Учитывайте, какие настройки можно проверить на каждом типе устройств: такая проверка не описывает всё поведение устройства и не подтверждает его сертификацию.
IoT и ограничения обновления прошивки
IoT-устройство может не поддерживать агент или автоматическое обновление. Запишите производителя, модель, версию прошивки, статус поддержки и способ обновления. Изолируйте неподдерживаемые устройства, отключайте лишний удалённый доступ и планируйте замену. Не считайте, что проверка состояния Windows подходит для всех умных устройств. Согласуйте сегментацию и замену с ответственным за безопасную эксплуатацию.
Программы-вымогатели и остановка рабочих процессов
Атака программы-вымогателя может заблокировать рабочие файлы и нарушить производство или оказание услуг, зависящих от устройств. Опишите зависимости и последствия изоляции устройств. Направляйте оповещения EDR ответственным за реагирование, изолируйте резервные копии от затронутой среды и проверяйте восстановление. Согласуйте изменения и остановку систем с ответственными за безопасную эксплуатацию.
Неизвестные и бесфайловые атаки
Бесфайловая атака может использовать доверенные инструменты и скрипты; отсутствие вредоносного файла на диске не означает, что устройство не заражено. Проверяйте данные EDR о процессах, командах, входах в систему и сетевых соединениях. Анализируйте поведение с учётом обстоятельств, ищите связанные события и сочетайте анализ неизвестных файлов с экспертной проверкой. Сигнал сам по себе не доказывает атаку; уточняйте, какие устройства и события охватывает инструмент.
Политика устройств и ответственные за исправления
Опишите правила использования личных и корпоративных устройств и их доступа к системам. Определите требования к обновлениям, привилегиям, приложениям и исключениям. Для каждой выявленной проблемы укажите ответственного за устройство, приоритет и срок исправления; сначала оценивайте критичные и доступные извне устройства. Повторные проблемы могут указывать на недостатки политики или её исполнения.
Физическая безопасность
Защищайте данные потерянного телефона или ноутбука шифрованием диска, блокировкой и сильной аутентификацией. Определите, как сообщать об утрате и согласовывать завершение сессий и отзыв доступа. Удалённое стирание применяйте, если устройство поддерживает эту функцию и ответственный с нужными полномочиями её одобрил. Управляйте съёмными носителями и ключами восстановления. Включайте физическую защиту в базовые меры вместе с конфигурацией и мониторингом.
Сканирование, EDR и анализ специалиста
Проверка конфигурации, EDR и анализ специалиста дают разные сведения о состоянии и безопасности устройства. При оценке решения продемонстрируйте нужные функции на тех устройствах, которые предстоит защищать; проверьте, как передаётся ответственность за изоляцию, уведомление и восстановление. Уточните, какие оповещения, сведения о процессах, анализ неизвестных файлов и ответные действия поддерживает решение. Проведите тестовый сценарий от оповещения до завершения расследования.
| Проверка | Что показывает | Следующий шаг |
|---|---|---|
| Проверка конфигурации | Настройки относительно выбранной базовой конфигурации. | Ответственный за устройство исправляет отклонения и повторно проверяет настройки. |
| Телеметрия EDR | События и поведение устройств, которые регистрирует EDR. | Специалист по реагированию изучает обстоятельства события. |
| Анализ специалиста | Результаты сопоставления собранных данных и предлагаемые действия. | Согласованные меры по сдерживанию угрозы и восстановлению с результатами проверки, позволяющими завершить расследование. |