Confío en la capacidad de Apex One para defender endpoints frente a amenazas como malware, ransomware y scripts maliciosos.

Apex One tiene machine learning predictivo y supervisión del comportamiento, que son esenciales para la seguridad de endpoints. Nuestro análisis de archivos también analiza la memoria en busca de malware. La supervisión del comportamiento es especialmente eficaz en la detección de ataques de ransomware porque puede comprobar métodos de cifrado inusuales.

Me gusta la forma en que los productos de Trend se integran entre sí. Los servidores Apex One están todos vinculados a Central, que ahora está integrado en mi consola Vision One. El contenido on premise también está integrado con Azure.

Utilizamos un único panel a través de Apex Central para ver detecciones, búsqueda de amenazas e investigaciones. La visibilidad a través de la única consola es importante. Cuando abrimos el panel, nos dice lo que ha encontrado. Por ejemplo, actualmente estoy mirando la versión SaaS. Si voy a ApexOne, puedo ver todos los agentes que están conectados actualmente. Todos los agentes tardan unos minutos en cargarse. Actualmente estamos en un periodo de inactividad durante los meses de verano. Somos una junta escolar, por lo que hay menos miembros del personal en el lugar y no todas las escuelas están abiertas. Tenemos 12 000 empleados y 80 000 estudiantes. Sin embargo, no todos los estudiantes están en línea en este momento como lo estarían durante el año escolar. El próximo viernes tendremos más miembros del personal en la oficina. Cuando la escuela comience después del fin de semana largo del Día del Trabajo en Canadá en septiembre, todos volverán a estar en línea. Actualmente, el panel solo muestra 9140 agentes. La semana pasada, mostró 6400 agentes. Tengo el sistema configurado para eliminar agentes inactivos para que el sistema no tenga que escanear constantemente un montón de sistemas que ni siquiera están allí. He visto hasta 17 000 endpoints en nuestro sistema.

Vision One ahora está supervisando mi seguridad de workloads de Cloud One y My Cloud Central. Esto significa que Vision One recopila datos de ambos sistemas y me proporciona una visión general completa de mi postura de seguridad. Cuando abra Vision One, podré ver la visibilidad de toda mi organización. He configurado Vision One para enviar datos a nuestro servidor Syslog y recibir datos de nuestro servidor Qualys. El servidor de Qualys analiza mis servidores en busca de vulnerabilidades e informa a Vision One. También he configurado un gateway de servicio y un gateway de datacenter de seguridad de workloads. La pasarela del datacenter de seguridad de la carga de trabajo alimenta datos de mis servidores VMware ESX en Vision One. Esto permite a Vision One ver el estado en tiempo real de nuestras VM, incluidas las que están encendidas, las que están ejecutando Deep Security Agent y las que siguen ejecutándose en mi servidor Deep Security local. Vision One me proporciona una descripción general de los riesgos, una descripción general de la exposición y una descripción general de los ataques. Esta información incluye detalles sobre acceso a credenciales, movimiento lateral, impacto en la recopilación y reglas sospechosas de reenvío de correo.

Tenemos nuestro sistema Azure para Office 365 y Azure Active Directory on premise también conectado a Vision One. Esto significa que Vision One puede ver todos los inicios de sesión en nuestro sistema Azure y nuestro AD local. Tengo agentes ejecutándome en nuestros controladores de directorio on premise, por lo que estos datos también se alimentan en Vision One. Vision One también puede ver nuestros controladores de dominio de Azure y nuestra DMZ. Recibo correos electrónicos de alerta cuando sucede algo serio. No he recibido ninguno de estos correos electrónicos desde que empezamos a usar Vision One. Sin embargo, recibo correos electrónicos sobre endpoints que han puesto archivos en cuarentena. El archivo en el endpoint era demasiado grande para pasar a la cuarentena del servidor principal, por lo que Vision One me acaba de dar un pequeño mensaje de error. Actualmente, el panel de protección de endpoints muestra que de los 19 678 endpoints, los agentes se han implementado en 13 675. Esto incluye Mac. El panel muestra un endpoint Linux, que es mi gateway de servicio. Hay 882 endpoints de Mac OS, que es inferior al número habitual de 1100 porque no todos están activados. Hay 12 792 endpoints de Windows. El panel también muestra que 6003 endpoints no tienen protección de seguridad. Estos endpoints probablemente incluyen equipos de red, determinados servidores Linux que no ejecutan software de Trend Micro y sistemas operativos patentados que utilizan nuestro equipo de red y otros grupos de TI. También hay endpoints que se enumeran en nuestro Active Directory, pero están desactivados o no tienen ningún sistema activo. Las actualizaciones se aplican cada hora. Si un exploit se supera y no se ha actualizado un endpoint, recibirá la actualización en el siguiente ciclo. La razón más común por la que un endpoint no recibe una actualización es un problema de red o el endpoint está apagado. Una vez que un endpoint entra en línea, se configura para recuperar automáticamente actualizaciones de seguridad del servidor o directamente de Trend Servers a través de Internet si el servidor no está disponible. Lo primero que hace el endpoint cuando se conecta es actualizar sus parches de seguridad, firmas y motores de análisis. Cuando se realiza una detección, el endpoint primero elimina el archivo y lo pone en cuarentena. A continuación, bloquea la acción de lo que el archivo estaba intentando hacer. La aplicación de parches virtuales, la supervisión del comportamiento y el machine learning predictivo del endpoint detienen cualquier actividad inusual. Esto puede incluso incluir una actividad que se supone que va a ocurrir. Hemos tenido miembros de nuestro departamento de TIC quejándose de que no podían instalar software porque la protección antivirus lo estaba bloqueando. En algunos casos, tenemos grupos dentro de nuestra organización que son responsables de mantener sus propios servidores. Cuando realizan actualizaciones, pueden programarnos para que deshabilitemos temporalmente la protección antivirus para que puedan completar la actualización. Incluso si el malware no es detectado por el sistema de reputación web y es descargado por un usuario, puede ser detectado por el sistema de detección de malware basado en firmas. Si ninguno de estos sistemas lo detecta, es posible que siga bloqueado si intenta ponerse en contacto con su master. Estas direcciones maestras suelen ser direcciones comunes en Internet que los bots utilizan para comunicarse con un servidor que mantiene el agente de amenazas. Si se bloquea un bot para que no se ponga en contacto con su master, no podrá funcionar. Si vemos que se bloquea un gran número de bots, investigaremos el sistema para ver qué está causando el problema. En muchos casos, resulta ser una actividad legítima que está siendo bloqueada por el sistema. Por ejemplo, podemos tener scripts personalizados ejecutándose en determinados servidores que parecen sospechosos para el sistema. Podemos incluir manualmente estos scripts en una lista blanca para que no queden bloqueados. En general, el sistema está diseñado para ser sobreprotector. Esto se debe a que es mejor bloquear algo legítimo que dejar pasar el malware. Siempre podemos solucionar un falso positivo, pero es mucho más difícil solucionar una filtración de seguridad.

Empecé a usar Apex One en agosto de 2020. Aprendí a mover agentes, instalar software y llevar al agente al servidor. También aprendí de la documentación, la base de conocimientos, los foros y otros usuarios. Encontré que Apex One es más difícil de aprender que PaperCut porque la terminología y los conceptos son diferentes. PaperCut se trata solo de impresión y supervisión, mientras que Apex One se trata de ciberseguridad. También hay muchas advertencias que considerar con Apex One. Encontré que la configuración del análisis era especialmente difícil. Trend Micro tiene documentos útiles sobre prácticas recomendadas, que usé para conocer cuáles son los ajustes normales para servidores y estaciones de trabajo. Por ejemplo, los servidores no necesitan ser analizados en busca de exploits de documentos de oficina porque normalmente no tienen Office instalado. También aprendí que es importante equilibrar la seguridad con el rendimiento. No queremos analizar servidores tan fuertemente que los ralentice, pero tampoco queremos omitir comprobaciones de seguridad importantes. En enero de 2021, cambiamos nuestra política sobre la configuración de seguridad. Ahora les decimos a los usuarios que si hay algún problema, los solucionaremos. Preferiríamos tener un pequeño problema que podamos solucionar rápidamente en lugar de tener que restaurar un servidor desde la copia de seguridad, lo que puede tardar días.

ApexOne proporciona parches virtuales, también conocidos como protección frente a vulnerabilidades, para proteger frente a vulnerabilidades antes de que se aprovechen. Deep Security y Workload Security llaman a esta función prevención de intrusiones, pero básicamente es lo mismo.