Главная мысль
Оценивайте обнаружение угроз вместе с ограничениями на выполнение кода и записями, подтверждающими применение мер защиты.
Чего не показывает обнаружение
Xcitium описывает традиционную EDR как подход, при котором неизвестный код анализируется во время работы на реальном устройстве. Материал рассматривает, как дополнить обнаружение угроз управлением выполнением кода.
Управление выполнением кода
В описанном Xcitium подходе неизвестный код или код с неподтвержденной надежностью выполняется в изолированной среде без свободного доступа к ресурсам системы. Команда безопасности может оценить, как этот подход сочетается с обнаружением угроз, реагированием на инциденты и профилактическими мерами защиты.
Изоляция и доказательства
В документе Xcitium описывает виртуализацию файловой системы, реестра, объектов ядра, служб и операций DCOM/RPC. Для изолированных процессов отдельно запрещается создание сетевых сокетов. Решения о выполнении кода и события изоляции формируют записи, по которым можно проверить применение защитных мер.
Как применить материал
CISO, руководитель по рискам и совет директоров могут обсудить, какие записи подтверждают применение мер защиты. Архитектор безопасности может проверить, подходят ли описанные записи для аудита, расследования инцидентов и повседневной работы команды. Также полезно заранее определить срок хранения, круг пользователей с доступом и источник каждой записи.