مقاله · امنیت نقاط پایانی
امنیت نقاط پایانی چگونه کار میکند؛ از آنتیویروس تا تشخیص و پاسخ
لپ‌تاپ‌ها، رایانه‌های رومیزی و سرورها جایی هستند که بیشتر حملات در نهایت به آن می‌رسند. اگر بدانید نرم‌افزار امنیت نقاط پایانی چه میکند، چه چیزهایی را ثبت میکند و کجا متوقف میشود، می‌توانید محافظت مناسب را بخرید و انتظارات واقع‌بینانه‌ای داشته باشید.
- تاریخ انتشار
- ۷ دقیقه مطالعه
در این صفحه
نکات کلیدی
- آنتیویروس سنتی فایل‌های مخرب شناخته‌شده را مسدود میکند؛ آنتیویروس نسل جدید تحلیل رفتار و استعلام ابری را به آن اضافه میکند.
- تشخیص و پاسخ در نقاط پایانی (EDR) فعالیت‌های هر دستگاه را با جزئیات ثبت میکند تا رفتار مشکوک شناسایی، بررسی و مهار شود.
- ایزولهسازی به پاسخ‌دهنده امکان میدهد دستگاه آلوده را از شبکه جدا کند، در حالی که همچنان برای بررسی در دسترس می‌ماند.
- وصله‌گذاری، رمزگذاری، حذف دسترسی مدیر و کاهش سطح حمله، از بسیاری از رخدادها پیش از آنکه اصلاً به تشخیص نیاز باشد جلوگیری می‌کنند.
- کارایی EDR به میزان پوشش آن و افرادی بستگی دارد که هشدارهایش را بررسی می‌کنند؛ دستگاه‌های مدیریت‌نشده و هویت‌های ابری سرقت‌شده خارج از دید آن هستند.
نقطه پایانی چیست و چرا اهمیت دارد
نقطه پایانی (endpoint) هر دستگاهی است که به شبکه یا سرویس‌های ابری شما وصل میشود و از طرف یک کاربر یا یک فرایند کسب‌وکار نرم‌افزار اجرا میکند: لپ‌تاپ‌ها و رایانه‌های رومیزی Windows و macOS، سرورها و به‌طور فزاینده گوشی‌ها و تبلت‌ها. نقاط پایانی جایی هستند که افراد پیوست‌ها را باز می‌کنند، برنامه نصب می‌کنند، گذرواژه تایپ می‌کنند و فایل ذخیره می‌کنند؛ بنابراین همان جایی هستند که باجافزار دادهها را رمزگذاری میکند و مهاجمان جای پا باز می‌کنند.
امنیت نقاط پایانی یک محصول واحد نیست. مجموعه‌ای لایه‌لایه از کنترل‌هاست که تلاش میکند از اجرای کد مخرب جلوگیری کند، وقتی پیشگیری شکست خورد آن را تشخیص دهد و ابزار پاسخ سریع را در اختیار کسی بگذارد. دانستن اینکه هر لایه چه کاری انجام میدهد به شما کمک میکند شکاف‌ها را ببینید.
آنتیویروس، آنتیویروس نسل جدید و EDR
این اصطلاحات در تبلیغات اغلب به جای یکدیگر به کار می‌روند، اما توانایی‌های متفاوتی را توصیف می‌کنند.
آنتیویروس مبتنی بر امضا
فایل‌ها را با پایگاه داده‌ای از اثر انگشت بدافزارهای شناخته‌شده مقایسه میکند. برای تهدیدهای شناخته‌شده سریع و قابل اتکاست، اما بدافزارهای جدید یا تغییریافته و حملاتی که از ابزارهای مشروع استفاده می‌کنند ممکن است از آن عبور کنند.
آنتیویروس نسل جدید
مدل‌های یادگیری ماشین، پایش رفتار، محافظت در برابر اکسپلویت و بررسی بلادرنگ اعتبار در ابر را اضافه میکند. می‌تواند فایل‌ها و اقدامات مشکوکی را که قبلاً هرگز ندیده مسدود کند. Microsoft Defender Antivirus که در Windows تعبیه شده، وقتی محافظت ابری فعال باشد به همین شیوه کار میکند.
تشخیص و پاسخ در نقاط پایانی
به‌طور پیوسته آنچه روی دستگاه رخ میدهد را ثبت میکند و این داده‌های تله‌متری را به کنسولی ابری می‌فرستد که در آن منطق تشخیص به دنبال رفتار مهاجم می‌گردد. از بررسی و اقدامات پاسخ پشتیبانی میکند. Microsoft Defender for Business و Defender for Endpoint قابلیت‌های EDR دارند.
تشخیص و پاسخ گسترده
راهکار XDR سیگنال‌های نقاط پایانی را با سیگنال‌های هویت، ایمیل و برنامه‌های ابری مرتبط میکند، تا حمله‌ای که با یک ایمیل فیشینگ شروع میشود و روی یک لپ‌تاپ تمام میشود، به‌عنوان یک رخداد واحد دیده شود.
تله‌متری EDR چه چیزهایی را ثبت میکند
عامل (agent) EDR رویدادها را در سطح سیستم‌عامل زیر نظر دارد: ایجاد فرایندها و خط فرمان‌های به‌کاررفته، رابطه فرایندهای والد و فرزند، ایجاد و تغییر فایل‌ها، تغییرات رجیستری، اتصالات شبکه، اجرای اسکریپت‌ها، بارگذاری درایورها، ورودها و تکنیک‌های حافظه‌ای مرتبط با سرقت اعتبارنامه. این رویدادها به‌تنهایی پیش‌پاافتاده‌اند، اما کنار هم یک خط زمانی می‌سازند.
منطق تشخیص به دنبال الگوهاست، نه فایل‌ها. نرم‌افزار واژه‌پردازی که PowerShell را اجرا میکند و از اینترنت محتوا دانلود میکند، ابزار پشتیبانگیری که متوقف میشود و کپی‌های سایه (shadow copies) که حذف می‌شوند، یا ابزاری که حافظه اعتبارنامه‌ها را می‌خواند، همگی مشکوک‌اند، فارغ از اینکه فایل بدافزار شناخته‌شده‌ای وجود داشته باشد یا نه. EDR به همین روش مهاجمانی را که از ابزارهای مدیریتی داخلی استفاده می‌کنند شناسایی میکند؛ تکنیکی که اغلب «زندگی از منابع موجود» (living off the land) نامیده میشود.
تله‌متری پس از رخداد هم اهمیت دارد. وقتی هشداری صادر میشود، پاسخ‌دهنده می‌تواند درخت فرایندها را تا پیوست ایمیل یا دانلودی که ماجرا را شروع کرده دنبال کند، ببیند کدام دستگاه‌های دیگر با همان نشانی ارتباط داشته‌اند و تصمیم بگیرد رخداد تا کجا گسترش یافته است.
وقتی چیزی شناسایی میشود چه اتفاقی می‌افتد
تشخیص تنها زمانی مفید است که به پاسخی به‌موقع و متناسب منجر شود. یک روند معمول چنین است.
هشدار و دسته‌بندی اولیه
سکو هشداری با سطح شدت و زمینه صادر میکند. ممکن است بررسی خودکار اجرا شود و یک نفر بررسی میکند که آیا فعالیت مخرب است، بی‌خطر است یا به اطلاعات بیشتری نیاز دارد.
مهار
اگر فعالیت مخرب باشد، پاسخ‌دهنده می‌تواند فرایند را متوقف کند، فایل را قرنطینه کند یا دستگاه را ایزوله کند. ایزولهسازی همه ترافیک شبکه بهجز اتصال به کنسول امنیتی را مسدود میکند و جلوی گسترش را می‌گیرد، در حالی که دستگاه برای بررسی در دسترس می‌ماند.
بررسی دامنه رخداد
پاسخ‌دهنده خط زمانی را بررسی میکند، همان نشانه‌ها را در دستگاه‌های دیگر جست‌وجو میکند و ورودهای هویتی را بازبینی میکند، چون ممکن است اعتبارنامه‌ها سرقت شده باشند.
رفع
سازوکارهای ماندگاری مهاجم را حذف کنید، اعتبارنامه‌های آسیب‌دیده را بازنشانی و نشست‌ها را باطل کنید، ضعفی را که از آن سوءاستفاده شده وصله کنید و اگر اعتماد به دستگاه قابل بازگشت نیست، آن را از نو نصب کنید.
درس‌آموزی
آنچه رخ داده را ثبت کنید، تشخیص‌ها و استثناها را تنظیم کنید و شکاف را ببندید؛ چه یک وصله جاافتاده باشد، چه دسترسی مدیریتی غیرضروری یا نیاز به آموزش کاربر.
لایه‌های پیشگیری که نیاز به تشخیص را کمتر می‌کنند
ابزارهای تشخیص و پاسخ روی دستگاه‌هایی که از پیش مقاوم‌سازی شدهاند بهتر کار می‌کنند. این کنترل‌ها بسیاری از مسیرهای حمله را به‌کلی حذف می‌کنند.
- سیستم‌عامل‌ها، مرورگرها و برنامه‌های رایج را به‌سرعت وصله کنید و آسیب‌پذیری‌هایی را که به‌طور فعال مورد سوءاستفاده‌اند در اولویت قرار دهید.
- دسترسی مدیر محلی را از حساب‌های روزمره حذف کنید و از راهکار مدیریت‌شده گذرواژه مدیر محلی مانند Windows LAPS استفاده کنید.
- قواعد کاهش سطح حمله را فعال کنید، مثلاً جلوگیری از ایجاد فرایند فرزند توسط برنامه‌های Office؛ ابتدا در حالت ممیزی و سپس به‌صورت اجباری.
- محافظت در برابر دستکاری (tamper protection) را روشن کنید تا مهاجمان یا کاربران خوش‌نیت نتوانند عامل امنیتی را غیرفعال کنند.
- دیسک‌ها را با BitLocker یا FileVault رمزگذاری کنید تا دستگاه گم‌شده یا دزدیده‌شده دادهها را افشا نکند.
- از کنترل برنامه‌ها استفاده کنید یا دست‌کم اسکریپت‌های بدون امضا و سوءاستفاده رایج از ابزارهایی مانند نرم‌افزارهای دسترسی از راه دور را مسدود کنید.
- فایروال میزبان را روشن نگه دارید و دسترسی ورودی از راه دور مانند RDP را به افراد و شبکه‌هایی که به آن نیاز دارند محدود کنید.
محدودیت‌هایی که باید برایشان برنامه‌ریزی کنید
امنیت نقاط پایانی فقط از دستگاه‌هایی محافظت میکند که عامل امنیتی روی آنها اجرا میشود. رایانه‌های شخصی، لپ‌تاپ‌های مدیریت‌نشده پیمانکاران، تجهیزات شبکه، چاپگرها و بسیاری از دستگاه‌های اینترنت اشیا از دید آن پنهان‌اند. فهرست دارایی‌ها و بررسی‌های هنگام ورود دستگاه جزئی از امنیت نقاط پایانی است، نه موضوعی جداگانه.
این راهکار همچنین همه آنچه در ابر رخ میدهد را نمی‌بیند. اگر مهاجم با فیشینگ گذرواژه و توکن نشست را به دست آورد و سپس ایمیل‌ها را در مرورگر رایانه خودش بخواند، ممکن است هیچ فعالیت مخربی روی نقاط پایانی شما رخ ندهد. حفاظت‌های هویتی، دسترسی مشروط و امنیت ایمیل این شکاف را می‌بندند.
هشدارها به انسان نیاز دارند. کنسولی پر از هشدارهای بررسی‌نشده محافظت چندانی فراهم نمی‌کند و استثناهای بیش از حد گسترده‌ای که برای توقف هشدارهای کاذب اضافه می‌شوند می‌توانند نقاط کور بسازند. توافق کنید چه کسی هشدارها را بررسی میکند، در چه ساعاتی و اجازه انجام چه کارهایی را دارد، مثلاً ایزوله کردن دستگاه بدون منتظر ماندن برای تأیید.
در نهایت، مهاجمان مصمم فعالانه تلاش می‌کنند ابزارهای امنیتی را غیرفعال کنند، گاهی با درایورهای امضاشده آسیب‌پذیر. محافظت در برابر دستکاری، وصله‌گذاری سریع و به‌روز نگه داشتن عامل امنیتی این خطر را کاهش میدهد اما از بین نمی‌برد؛ به همین دلیل پشتیبانگیری و برنامه پاسخ به رخداد همچنان ضروری‌اند.
انتخاب محافظت برای یک کسب‌وکار کوچک
برای بسیاری از سازمان‌هایی که از Microsoft 365 استفاده می‌کنند، Defender for Business که در Business Premium گنجانده شده، آنتیویروس نسل جدید و EDR را از همان پورتالی فراهم میکند که بقیه تنت از آن مدیریت میشود. هر محصولی انتخاب کنید، مطمئن شوید همه سکوهای مورد استفاده شما را پوشش میدهد، محافظت در برابر دستکاری روشن است و کسی مسئول بررسی هشدارهاست.
پرسش‌های متداول
آیا آنتیویروس داخلی Windows کافی است؟
وقتی محافظت ابری و محافظت در برابر دستکاری فعال باشند، Microsoft Defender Antivirus یک آنتیویروس نسل جدید توانمند است. اما به‌تنهایی قابلیت‌های بررسی و پاسخ EDR را ندارد؛ این قابلیت‌ها با Defender for Business، Defender for Endpoint یا محصولی مشابه ارائه می‌شوند.
آیا EDR رایانهها را کند میکند؟
عاملهای امروزی سبک طراحی شدهاند و بیشتر کاربران در استفاده عادی متوجه آنها نمیشوند. مشکلات معمولاً از اجرای همزمان دو محصول امنیتی ناسازگار ناشی میشود؛ پس هنگام استقرار عامل جدید، آنتیویروس قدیمی را حذف کنید.
اگر EDR داریم، باز هم به پشتیبانگیری نیاز داریم؟
بله. EDR احتمال و اثر حمله را کاهش میدهد، اما نمیتواند هر پیامدی را برگرداند. خرابی سختافزار، حذف تصادفی و حمله موفق باجافزار همچنان به پشتیبانهای آزمایششده و محافظتشده نیاز دارند.
آیا ایزوله کردن دستگاه، اطلاعات آن را پاک میکند؟
خیر. ایزولهسازی ارتباطات شبکه را، بهجز با سکوی امنیتی، مسدود میکند و دادهها و شواهد سر جای خود میمانند. پس از بررسی و پاکسازی، دستگاه از حالت ایزوله خارج میشود.
خدمات مرتبط
محصولات و بسته‌ها
ببینید دستگاه‌هایتان چقدر خوب محافظت می‌شوند
ارزیابی امنیت دستگاه، پوشش عامل امنیتی، پیکربندی، سطح وصله‌ها و دسترسی‌های مدیریتی را در همه دستگاه‌های شما بررسی میکند و فهرستی اولویت‌بندی‌شده از بهبودها به شما میدهد.