Liderzy biznesu przerzucają się na rozwiązania nowej generacji - Next Generation Antivirus (NGAV), tworząc efektywne zapory (podobno nawet w 100%). Rozwiązania NGAV oparte są na zupełnie innym podejściu technologicznym do wykrywania i blokowania szkodliwej aktywności: skupiają się na punktach końcowych sieci i analizują każdy proces w każdym punkcie końcowym, by algorytmicznie wykryć i zablokować szkodliwe narzędzia, techniki i zabiegi (tools, tactics, techniques and procedures - TTPs), na których często polegają atakujący. Obecnie ochrona skupia się na wykrywaniu zagrożenia i reakcji na nie, nie na zapobieganiu zagrożeniom za wszelką cenę. Rozwiązania NGAV są stosunkowo łatwe do wdrożenia i dają możliwość zarządzania w chmurze.

Zadanie NGAV:

● Powstrzymywanie nieznanych złośliwych programów oraz bardziej wyrafinowanych prób ataku, poprzez ocenę całego kontekstu systemowego pojawienia się szkodliwych elementów. Ocena wykonywana jest na podstawie wcześniej zdefiniowanych wskaźników.

● Wykrywanie i raportowanie źródła cyberataku, dostarczanie informacji na temat przewidywanych następstw szkodliwego działania oraz wykrywanie luk w zabezpieczeniach (np. funkcja Exploit Protection w produktach G DATA.

● Naprawa wyrządzonych szkód.

● Blokowanie procesów, które starają się naśladować normalną aktywność systemową (nie skupia się na plikach, tylko na procesach). Złośliwe oprogramowanie wykrywane jest na przykład, gdy program automatycznie tworzy pozycje autostart lub inne podejrzane wartości w bazie danych (rejestrze) systemu Windows.

● Tworzenie whitelisty aplikacji i wykrywaniu anomalii w systemie, czyli innymi słowy, blokowaniu wszystkiego, co wydaje się nietypowe dla danego środowiska (w związku z tym wymaga testowania aplikacji w konkretnym środowisku).

● Wykrywanie zmian w plikach hostów, które mają uprawnienia do przekazywania żądania dostępu do pewnych adresów IP lub stron internetowych innym adresom. Gdy niektóre z tych prób zostaną zauważone, rozpoczyna się kompleksowy proces analizy, który prowadzi do wykrycia pozostałych zagrożeń.

● Skupianie się na ochronie sieci, zabezpieczanie punktów końcowych z poziomu połączenia, nie z poziomu urządzenia.

● Automatyzacja powyższych procesów, która przekłada się na znaczną oszczędność zasobów.

Na czym polega użycie rozwiązań AI w cyberochronie?

AI w tym kontekście sprowadza się do automatycznego analizowania danych i dostrzegania prawidłowości oraz raportowania zagrożeń i wprowadzania środków zaradczych. Zdaniem ekspertów należy od początku zakładać, że ataki spowodują szkodę. Chodzi o to, by ten negatywny wpływ zminimalizować i żeby radzić sobie z łataniem luk.

Rozwiązania oparte na EDR (Endpoint Detection and Response), które także zaliczane są do grupy AI + AV, koncentrują się na wczesnym wykrywaniu zagrożenia, gdy przestępcy nie dostali się jeszcze do sieci i nie zdążyli dokonać szkód. EDR może funkcjonować tylko we współpracy z innymi aplikacjami antywirusowymi chroniącymi sieć i zasoby organizacji. Jest to pewnego rodzaju ciężkie działo, przeznaczone do zadań specjalnych. Dzięki współpracy z innymi aplikacjami, które przejmują funkcje kontrolne i zapobiegawcze, EDR może skupić się na wyszukiwaniu anomalii i naruszeń bariery bezpieczeństwa.

Źródło: G DATA