Ich bin zuversichtlich, dass Apex One Endpunkte vor Bedrohungen wie Malware, Ransomware und bösartigen Skripten schützen kann.

Apex One verfügt über vorausschauendes maschinelles Lernen und Verhaltensüberwachung, die für die Endpunktsicherheit unerlässlich sind. Unser Dateiscan scannt auch den Speicher auf Malware. Verhaltensüberwachung ist besonders effektiv bei der Erkennung von Ransomware-Angriffen, da sie nach ungewöhnlichen Verschlüsselungsmethoden suchen kann.

Ich mag die Art und Weise, wie Trend-Produkte miteinander integriert werden. Die Apex One-Server sind alle an Central gebunden, das jetzt in meine Vision One-Konsole integriert ist. Das On-Premises-Zeug ist auch in Azure integriert.

Wir verwenden ein einziges Dashboard über Apex Central, um Erkennungen, Bedrohungssuche und Untersuchungen anzuzeigen. Die Transparenz über die einzelne Konsole ist wichtig. Wenn wir das Dashboard öffnen, sagt es uns, was es gefunden hat. Zum Beispiel schaue ich mir derzeit die SaaS-Version an. Wenn ich zu ApexOne gehe, kann ich alle Agenten sehen, die derzeit verbunden sind. Es dauert einige Augenblicke, bis alle Agenten geladen sind. In den Sommermonaten befinden wir uns derzeit in Ausfallzeiten. Wir sind ein Schulvorstand, daher gibt es weniger Mitarbeiter vor Ort und nicht alle Schulen sind geöffnet. Wir haben 12.000 Mitarbeiter und 80.000 Studenten. Allerdings sind nicht alle Schüler gerade online, wie sie es im Schuljahr tun würden. Am nächsten Freitag werden wir mehr Mitarbeiter im Büro haben. Wenn die Schule nach dem langen Wochenende des Labor Day in Kanada im September beginnt, sind alle wieder online. Derzeit zeigt das Dashboard nur 9.140 Agenten an. Letzte Woche wurden 6.400 Wirkstoffe nachgewiesen. Ich habe das System eingerichtet, um inaktive Agenten zu entfernen, sodass das System nicht ständig eine Reihe von Systemen scannen muss, die noch nicht einmal vorhanden sind. Ich habe bis zu 17.000 Endpunkte in unserem System gesehen.

Vision One überwacht jetzt die My Cloud One Workload-Sicherheit und My Cloud Central. Das bedeutet, dass Vision One Daten von beiden Systemen sammelt und mir einen umfassenden Überblick über meine Sicherheitslage gibt. Wenn ich Vision One öffne, kann ich Einblick in mein gesamtes Unternehmen sehen. Ich habe Vision One so konfiguriert, dass Daten an unseren Syslog-Server gesendet und Daten von unserem Qualys-Server empfangen werden. Der Qualys-Server scannt meine Server auf Schwachstellen und berichtet an Vision One zurück. Ich habe auch ein Service Gateway und ein Workload Security Data Center Gateway eingerichtet. Das Workload Security Data Center Gateway speist Daten von meinen VMware ESX-Servern in Vision One ein. Dies ermöglicht Vision One, den Echtzeitstatus unserer VMs zu sehen, einschließlich der eingeschalteten VMs, derer, die den Deep Security Agent ausführen und welche noch auf meinem lokalen Deep Security-Server laufen. Vision One bietet mir eine Risikoübersicht, eine Expositionsübersicht und eine Angriffsübersicht. Diese Informationen enthalten Details zum Zugang zu Anmeldedaten, zur lateralen Bewegung, zu den Auswirkungen auf die Sammlung und zu verdächtigen Regeln für die Weiterleitung von E-Mails.

Das Azure-System für Office 365 und Azure Active Directory vor Ort sind ebenfalls mit Vision One verbunden. Das bedeutet, dass Vision One alle Anmeldungen bei unserem Azure-System und unserem On-Premises-AD sehen kann. Ich habe Agenten, die auf unseren On-Premises-Verzeichniscontrollern ausgeführt werden, daher werden diese Daten auch in Vision One eingespeist. Vision One kann auch unsere Azure-Domänencontroller und unsere DMZ sehen. Ich erhalte Warnmeldungen, wenn etwas Ernstes passiert. Ich habe keine dieser E-Mails erhalten, seit wir Vision One verwenden. Ich erhalte jedoch E-Mails über Endpunkte, für die Dateien unter Quarantäne gestellt wurden. Die Datei auf dem Endpunkt war zu groß, um in die Hauptserverquarantäne verschoben zu werden. Daher gab Vision One mir nur eine kleine Fehlermeldung. Derzeit zeigt das Endpunktschutz-Dashboard, dass von 19.678 Endpunkten Agenten auf 13.675 bereitgestellt wurden. Dazu gehören auch Macs. Das Dashboard zeigt einen Linux-Endpunkt, das ist mein Service Gateway. Es gibt 882 Mac OS-Endpunkte, was geringer ist als die übliche Anzahl von 1.100, da nicht alle eingeschaltet sind. Es gibt 12.792 Windows-Endpunkte. Das Dashboard zeigt auch, dass 6.003 Endpunkte keinen Sicherheitsschutz haben. Diese Endpunkte umfassen wahrscheinlich Netzwerkgeräte, bestimmte Linux-Server, auf denen keine Trend Micro-Software läuft, und proprietäre Betriebssysteme, die von unserem Netzwerkteam und anderen IT-Gruppen verwendet werden. Es gibt auch Endpunkte, die in unserem Active Directory aufgeführt sind, aber entweder ausgeschaltet sind oder keine aktiven Systeme haben. Updates werden stündlich angewendet. Wenn ein Exploit durchkommt und ein Endpunkt nicht aktualisiert wurde, erhält er die Aktualisierung im nächsten Zyklus. Der häufigste Grund, warum ein Endpunkt keine Aktualisierung erhält, ist ein Netzwerkproblem oder der Endpunkt, der ausgeschaltet wird. Sobald ein Endpunkt online geht, wird er so konfiguriert, dass er automatisch Sicherheitsupdates vom Server oder direkt von Trend Servers über das Internet abruft, wenn der Server nicht verfügbar ist. Das erste, was der Endpunkt tut, wenn er online geht, ist die Aktualisierung seiner Sicherheitspatches, Signaturen und Scan Engines. Wenn eine Erkennung durchgeführt wird, löscht der Endpunkt zuerst die Datei und stellt sie in Quarantäne. Sie blockiert dann die Aktion von allem, was die Datei versucht hat. Virtuelles Patching, Verhaltensüberwachung und prädiktives maschinelles Lernen des Endpunkts stoppen dann alle ungewöhnlichen Aktivitäten. Dies kann sogar eine Aktivität umfassen, die stattfinden soll. Wir haben Mitglieder unserer ICT-Abteilung beanstandet, dass sie keine Software installieren konnten, da der Antivirusschutz sie blockierte. In einigen Fällen haben wir Gruppen innerhalb unseres Unternehmens, die für die Wartung ihrer eigenen Server verantwortlich sind. Wenn sie Upgrades durchführen, können sie uns einplanen, den Antivirusschutz vorübergehend zu deaktivieren, damit sie das Upgrade abschließen können. Auch wenn Malware nicht vom Web-Reputationssystem erkannt und von einem Benutzer heruntergeladen wird, kann sie dennoch vom signaturbasierten Malware-Erkennungssystem erkannt werden. Wenn es von keinem dieser Systeme erkannt wird, kann es trotzdem blockiert werden, wenn es versucht, seinen Master zu kontaktieren. Diese Masteradressen sind häufig gemeinsame Adressen im Internet, die von Bots verwendet werden, um mit einem Server zu kommunizieren, der vom Bedrohungsakteur verwaltet wird. Wenn ein Bot daran gehindert ist, seinen Master zu kontaktieren, kann er nicht funktionieren. Wenn eine große Anzahl von Bots blockiert wird, untersuchen wir das System, um zu sehen, was das Problem verursacht. In vielen Fällen stellt sich heraus, dass es sich um eine legitime Aktivität handelt, die vom System blockiert wird. Beispielsweise können benutzerdefinierte Skripte auf bestimmten Servern ausgeführt werden, die für das System verdächtig aussehen. Wir können diese Skripte manuell auf Whitelist setzen, damit sie nicht blockiert werden. Insgesamt ist das System so konzipiert, dass es überschützend ist. Das liegt daran, dass es besser ist, etwas zu blockieren, das legitim ist, als Malware durchzulassen. Wir können immer ein falsch positives Problem beheben, aber es ist viel schwieriger, eine Sicherheitsverletzung zu beheben.

Ich habe im August 2020 mit der Nutzung von Apex One begonnen. Ich habe gelernt, Agenten zu verschieben, Software zu installieren und den Agenten auf den Server zu übertragen. Ich habe auch aus der Dokumentation, Wissensdatenbank, Foren und anderen Benutzern gelernt. Ich fand Apex One schwieriger zu erlernen als PaperCut, da die Terminologie und Konzepte unterschiedlich sind. Bei PaperCut geht es nur um Drucken und Überwachen, während es bei Apex One um Cybersicherheit geht. Bei Apex One gibt es auch viele Vorbehalte. Die Scaneinstellungen fand ich besonders herausfordernd. Trend Micro verfügt über hilfreiche Best Practices-Dokumente, die ich verwendet habe, um zu erfahren, was die normalen Einstellungen für Server und Workstations sind. Beispielsweise müssen Server nicht nach Exploits für Office-Dokumente gescannt werden, da sie normalerweise Office nicht installiert haben. Ich habe auch gelernt, dass es wichtig ist, Sicherheit und Leistung in Einklang zu bringen. Wir möchten Server nicht so stark scannen, dass sie langsamer werden, aber wir möchten auch keine wichtigen Sicherheitsprüfungen überspringen. Im Januar 2021 haben wir unsere Richtlinie zu Sicherheitseinstellungen geändert. Wir teilen den Benutzern nun mit, dass wir sie beheben werden, wenn es Probleme gibt. Wir hätten lieber ein kleines Problem, das wir schnell beheben können, als einen Server von der Sicherung wiederherstellen zu müssen, was Tage dauern kann.

ApexOne bietet virtuelles Patching, auch bekannt als Schwachstellenschutz, um vor Schwachstellen zu schützen, bevor sie ausgenutzt werden. Deep Security und Workload Security nennen diese Funktion Intrusion Prevention, sind aber im Grunde dasselbe.