Ho fiducia nella capacità di Apex One di difendere gli endpoint da minacce come malware, ransomware e script dannosi.

Apex One dispone di machine learning predittivo e monitoraggio del comportamento, essenziali per la sicurezza degli endpoint. La nostra scansione dei file scansiona anche la memoria alla ricerca di malware. Il monitoraggio del comportamento è particolarmente efficace nel rilevare gli attacchi ransomware perché può verificare la presenza di metodi di crittografia insoliti.

Mi piace il modo in cui i prodotti Trend si integrano tra loro. I server Apex One sono tutti collegati a Central, che è ora integrato nella mia console Vision One. Anche il materiale on-premise è integrato con Azure.

Utilizziamo un'unica dashboard tramite Apex Central per visualizzare rilevamenti, ricerca delle minacce e indagini. La visibilità attraverso la singola console è importante. Quando apriamo il dashboard, ci dice cosa ha trovato. Ad esempio, sto attualmente esaminando la versione SaaS. Se vado ad ApexOne, posso vedere tutti gli agenti attualmente connessi. Il caricamento di tutti gli agenti richiede alcuni minuti. Siamo attualmente in un periodo di inattività durante i mesi estivi. Siamo un consiglio scolastico, quindi ci sono meno membri del personale in loco e non tutte le scuole sono aperte. Abbiamo 12.000 dipendenti e 80.000 studenti. Tuttavia, non tutti gli studenti sono online in questo momento come lo sarebbero durante l'anno scolastico. Venerdì prossimo avremo più membri del personale in ufficio. Quando la scuola inizierà dopo il lungo weekend della Festa del Lavoro in Canada a settembre, tutti torneranno online. Attualmente, il pannello mostra solo 9.140 agenti. La scorsa settimana ha mostrato 6.400 agenti. Ho il sistema impostato per rimuovere gli agenti inattivi in modo che il sistema non debba eseguire costantemente la scansione di un gruppo di sistemi che non sono nemmeno presenti. Ho visto fino a 17.000 endpoint sul nostro sistema.

Vision One sta ora monitorando la sicurezza del mio carico di lavoro Cloud One e My Cloud Central. Ciò significa che Vision One sta raccogliendo dati da entrambi i sistemi e mi offre una panoramica completa del mio stato di sicurezza. Quando aprirò Vision One, potrò vedere la visibilità dell'intera organizzazione. Ho configurato Vision One per inviare dati al nostro server Syslog e ricevere dati dal nostro server Qualys. Il server Qualys esegue la scansione dei miei server alla ricerca di vulnerabilità e riporta a Vision One. Ho anche configurato un gateway di servizio e un gateway del datacenter per la sicurezza dei carichi di lavoro. Il gateway del datacenter per la sicurezza dei carichi di lavoro trasmette i dati dai miei server VMware ESX a Vision One. Ciò consente a Vision One di visualizzare lo stato in tempo reale delle nostre macchine virtuali, comprese quelle accese, quelle che eseguono Deep Security Agent e quelle ancora in esecuzione sul server Deep Security locale. Vision One mi offre una panoramica del rischio, una panoramica dell'esposizione e una panoramica degli attacchi. Queste informazioni includono dettagli sull'accesso alle credenziali, il movimento laterale, l'impatto della raccolta e le regole di inoltro della posta sospetta.

Abbiamo anche il nostro sistema Azure per Office 365 e Azure Active Directory locale collegato a Vision One. Ciò significa che Vision One può visualizzare tutti gli accessi al nostro sistema Azure e al nostro AD locale. Ho agenti in esecuzione sui nostri controller di directory locali, quindi questi dati vengono anche trasmessi in Vision One. Vision One può anche vedere i nostri controller di dominio Azure e la nostra DMZ. Ricevo email di avviso quando succede qualcosa di grave. Non ho ricevuto nessuna di queste email da quando abbiamo iniziato a usare Vision One. Tuttavia, ricevo email sugli endpoint che hanno messo in quarantena i file. Il file sull'endpoint era troppo grande per passare alla quarantena del server principale, quindi Vision One mi ha appena inviato un piccolo messaggio di errore. Attualmente, il pannello di controllo di protezione degli endpoint mostra che su 19.678 endpoint, gli agenti sono stati distribuiti su 13.675. Ciò include i Mac. Il dashboard mostra un endpoint Linux, che è il mio gateway di servizio. Ci sono 882 endpoint Mac OS, che sono inferiori al numero abituale di 1.100 perché non tutti sono attivati. Ci sono 12.792 endpoint Windows. Il dashboard mostra inoltre che 6.003 endpoint non dispongono di protezione di sicurezza. Questi endpoint includono probabilmente apparecchiature di rete, alcuni server Linux che non eseguono il software Trend Micro e sistemi operativi proprietari utilizzati dal nostro team di rete e da altri gruppi IT. Ci sono anche endpoint elencati nella nostra Active Directory, ma sono disattivati o non dispongono di sistemi attivi. Gli aggiornamenti vengono applicati su base oraria. Se un exploit viene superato e un endpoint non è stato aggiornato, riceverà l'aggiornamento al ciclo successivo. Il motivo più comune per cui un endpoint non riceve un aggiornamento è un problema di rete o l'endpoint viene spento. Una volta che un endpoint è online, è configurato per recuperare automaticamente gli aggiornamenti di sicurezza dal server o direttamente dai server Trend su Internet se il server non è disponibile. La prima cosa che l'endpoint fa quando va online è aggiornare le sue patch di sicurezza, le firme e i motori di scansione. Quando viene effettuato un rilevamento, l'endpoint prima elimina il file e lo mette in quarantena. Blocca quindi l'azione di tutto ciò che il file stava tentando di fare. Le patch virtuali dell'endpoint, il monitoraggio del comportamento e il machine learning predittivo arrestano quindi qualsiasi attività insolita. Ciò può includere anche un'attività che dovrebbe avvenire. Abbiamo avuto membri del nostro reparto ICT che si lamentavano di non essere stati in grado di installare il software perché la protezione antivirus lo bloccava. In alcuni casi, all'interno della nostra organizzazione abbiamo gruppi responsabili della manutenzione dei propri server. Quando eseguono gli aggiornamenti, possono pianificarci la disattivazione temporanea della protezione antivirus in modo che possano completare l'aggiornamento. Anche se il malware non viene rilevato dal sistema di reputazione web e viene scaricato da un utente, può comunque essere rilevato dal sistema di rilevamento del malware basato su firma. Se non viene rilevato da nessuno di questi sistemi, potrebbe comunque essere bloccato se tenta di contattare il suo master. Questi indirizzi master sono spesso indirizzi comuni su Internet utilizzati dai bot per comunicare con un server gestito dall'attore delle minacce. Se un bot non può contattare il suo master, non sarà in grado di funzionare. Se vediamo un gran numero di bot bloccati, indagheremo sul sistema per vedere cosa sta causando il problema. In molti casi, si rivela essere un'attività legittima che viene bloccata dal sistema. Ad esempio, potremmo avere script personalizzati in esecuzione su determinati server che sembrano sospetti per il sistema. È possibile inserire manualmente nella whitelist questi script in modo che non vengano bloccati. Nel complesso, il sistema è progettato per essere iperprotettivo. Questo perché è meglio bloccare qualcosa che è legittimo piuttosto che far passare il malware. Possiamo sempre correggere un falso positivo, ma è molto più difficile risolvere una violazione della sicurezza.

Ho iniziato a usare Apex One nell'agosto 2020. Ho imparato come spostare gli agenti, installare il software e portare l'agente sul server. Ho anche imparato dalla documentazione, dalla knowledge base, dai forum e da altri utenti. Ho trovato Apex One più difficile da imparare rispetto a PaperCut perché la terminologia e i concetti sono diversi. PaperCut riguarda solo la stampa e il monitoraggio, mentre Apex One riguarda la cybersecurity. Ci sono anche molte avvertenze da considerare con Apex One. Ho trovato le impostazioni di scansione particolarmente impegnative. Trend Micro dispone di utili documenti sulle best practice, che utilizzavo per scoprire quali sono le impostazioni normali per server e workstation. Ad esempio, i server non devono essere sottoposti a scansione per gli exploit dei documenti dell'ufficio perché in genere non hanno Office installato. Ho anche imparato che è importante bilanciare la sicurezza con le prestazioni. Non vogliamo scansionare i server in modo così pesante da rallentarli, ma non vogliamo anche saltare importanti controlli di sicurezza. A gennaio 2021, abbiamo modificato la nostra politica sulle impostazioni di sicurezza. Ora diciamo agli utenti che se ci sono problemi, li risolveremo. Preferiamo avere un piccolo problema che possiamo risolvere rapidamente piuttosto che dover ripristinare un server dal backup, che può richiedere giorni.

ApexOne fornisce patch virtuali, note anche come protezione dalle vulnerabilità, per proteggerle dalle vulnerabilità prima che vengano sfruttate. Deep Security e Workload Security chiamano questa funzione di prevenzione delle intrusioni, ma è essenzialmente la stessa cosa.