Mam pewność, że Apex One jest w stanie chronić punkty końcowe przed zagrożeniami takimi jak złośliwe oprogramowanie, ransomware i złośliwe skrypty.

Apex One oferuje predykcyjne uczenie maszynowe i monitorowanie zachowań, które są niezbędne do ochrony punktów końcowych. Nasze skanowanie plików skanuje również pamięć pod kątem złośliwego oprogramowania. Monitorowanie zachowań jest szczególnie skuteczne w wykrywaniu ataków ransomware, ponieważ może sprawdzać nietypowe metody szyfrowania.

Podoba mi się sposób, w jaki produkty Trend integrują się ze sobą. Wszystkie serwery Apex One są powiązane z centralą, która jest teraz zintegrowana z konsolą Vision One. Lokalne rozwiązania są również zintegrowane z platformą Azure.

Korzystamy z jednego pulpitu nawigacyjnego za pośrednictwem Apex Central, aby przeglądać wykrycia, poszukiwanie zagrożeń i dochodzenia. Widoczność w jednej konsoli jest ważna. Kiedy otwieramy pulpit nawigacyjny, informuje nas o tym, co znalazł. Obecnie patrzę na przykład na wersję SaaS. Po przejściu do ApexOne widzę wszystkich agentów, którzy są obecnie połączeni. Ładowanie wszystkich agentów zajmuje kilka chwil. W miesiącach letnich jesteśmy obecnie w trakcie przestoju. Jesteśmy zarządem szkoły, więc na miejscu jest mniej pracowników, a nie wszystkie szkoły są otwarte. Zatrudniamy 12 000 pracowników i 80 000 studentów. Jednak nie wszyscy uczniowie są teraz w Internecie tak samo jak w roku szkolnym. W przyszły piątek w biurze będzie więcej pracowników. Gdy szkoła rozpocznie się po długim wrześniowym weekendzie w Kanadzie, wszyscy będą znowu online. Obecnie na pulpicie znajduje się tylko 9140 agentów. W zeszłym tygodniu zaprezentowano 6400 agentów. Mam skonfigurowany system do usuwania nieaktywnych środków, aby system nie musiał stale skanować wielu systemów, które nawet tam nie są. Widziałem już do 17 000 punktów końcowych w naszym systemie.

Vision One monitoruje teraz moje zabezpieczenia obciążeń Cloud One i My Cloud Central. Oznacza to, że Vision One zbiera dane z obu systemów i zapewnia mi kompleksowy przegląd stanu bezpieczeństwa. Kiedy otworzę Vision One, będę w stanie zobaczyć wgląd w całą moją organizację. Skonfigurowałem Vision One do wysyłania danych do naszego serwera Syslog i odbierania danych z naszego serwera Qualys. Serwer Qualys skanuje moje serwery pod kątem luk w zabezpieczeniach i raportuje z powrotem do Vision One. Skonfigurowałem również bramę usługową i bramę centrum danych zabezpieczeń obciążeń. Brama centrum danych zabezpieczeń obciążeń przesyła dane z serwerów VMware ESX do Vision One. Dzięki temu Vision One może zobaczyć w czasie rzeczywistym status naszych maszyn wirtualnych, w tym które są zasilane, które obsługują Deep Security Agent, a które nadal działają na moim lokalnym serwerze Deep Security. Vision One zapewnia mi przegląd ryzyka, przegląd narażenia i przegląd ataku. Informacje te obejmują szczegółowe informacje na temat dostępu do danych uwierzytelniających, ruchu bocznego, wpływu na gromadzenie danych i podejrzanych reguł przekazywania wiadomości e-mail.

Nasz system Azure dla Office 365 i lokalny Azure Active Directory są również połączone z Vision One. Oznacza to, że Vision One może zobaczyć wszystkie loginy do naszego systemu Azure i lokalnego AD. W naszych lokalnych kontrolerach katalogów działają agenci, więc dane te są również przesyłane do Vision One. Vision One może również zobaczyć nasze kontrolery domen Azure i naszą DMZ. Otrzymuję wiadomości e-mail z powiadomieniem, gdy zdarzy się coś poważnego. Odkąd zaczęliśmy korzystać z Vision One, nie otrzymałem żadnych z tych wiadomości. Otrzymuję jednak wiadomości e-mail dotyczące punktów końcowych, w których poddano kwarantannę plików. Plik w punkcie końcowym był zbyt duży, aby przejść na kwarantannę głównego serwera, więc Vision One dał mi tylko mały komunikat o błędzie. Obecnie pulpit ochrony punktów końcowych pokazuje, że z 19 678 punktów końcowych agenci zostali rozmieszczeni w 13 675 punktach końcowych. Dotyczy to również komputerów Mac. Pulpit pokazuje jeden punkt końcowy systemu Linux, który jest moją bramą serwisową. Istnieje 882 punkty końcowe systemu Mac OS, czyli mniej niż zwykle liczba 1100, ponieważ nie wszystkie z nich są włączone. Istnieje 12 792 punktów końcowych Windows. Pulpit nawigacyjny pokazuje również, że 6003 punkty końcowe nie mają zabezpieczeń. Te punkty końcowe prawdopodobnie obejmują sprzęt sieciowy, niektóre serwery Linux, które nie korzystają z oprogramowania Trend Micro, oraz zastrzeżone systemy operacyjne używane przez nasz zespół sieciowy i inne grupy IT. Istnieją również punkty końcowe wymienione w naszym Active Directory, ale są one wyłączone lub nie mają żadnych aktywnych systemów. Aktualizacje są stosowane co godzinę. Jeśli exploit zostanie usunięty, a punkt końcowy nie zostanie zaktualizowany, zostanie on zaktualizowany w następnym cyklu. Najczęstszym powodem, dla którego punkt końcowy nie otrzymuje aktualizacji, jest problem z siecią lub wyłączany punkt końcowy. Gdy punkt końcowy przejdzie do trybu online, jest skonfigurowany tak, aby automatycznie pobierał aktualizacje zabezpieczeń z serwera lub bezpośrednio z serwera Trend Servers przez Internet, jeśli serwer jest niedostępny. Pierwszą rzeczą, jaką robi punkt końcowy w trybie online, jest aktualizacja poprawek zabezpieczeń, podpisów i modułów skanujących. Po wykryciu punkt końcowy najpierw usuwa plik i poddaje go kwarantannie. Następnie blokuje działanie tego, co plik próbował zrobić. Wirtualne poprawki, monitorowanie zachowań i predykcyjne uczenie maszynowe w punkcie końcowym powstrzymują wszelkie nietypowe działania. Może to nawet obejmować działanie, które ma się wydarzyć. Członkowie naszego działu teleinformatycznego skarżą się, że nie mogli zainstalować oprogramowania, ponieważ ochrona antywirusowa je blokowała. W niektórych przypadkach w naszej organizacji mamy grupy odpowiedzialne za utrzymanie własnych serwerów. W trakcie aktualizacji mogą nas zaplanować, abyśmy tymczasowo wyłączyli ochronę antywirusową, aby mogli ukończyć aktualizację. Nawet jeśli złośliwe oprogramowanie nie zostanie wykryte przez internetowy system oceny reputacji i pobrane przez użytkownika, może być nadal wykryte przez system wykrywania złośliwego oprogramowania oparty na sygnaturach. Jeśli nie zostanie wykryty przez żaden z tych systemów, może zostać zablokowany, jeśli spróbuje skontaktować się z urządzeniem nadrzędnym. Te adresy główne to często typowe adresy w Internecie, które są używane przez boty do komunikacji z serwerem obsługiwanym przez hakera. Jeśli bot nie może skontaktować się ze swoim urządzeniem nadrzędnym, nie będzie mógł funkcjonować. Jeśli zauważymy, że wiele botów jest blokowanych, zbadamy system, aby zobaczyć, co powoduje problem. W wielu przypadkach okazuje się, że jest to autentyczna czynność, która jest blokowana przez system. Na przykład możemy mieć niestandardowe skrypty działające na niektórych serwerach, które wyglądają podejrzanie w systemie. Możemy ręcznie wymienić te skrypty na białej liście, aby nie zostały zablokowane. Ogólnie system został zaprojektowany z myślą o nadmiernej ochronie. Lepiej jest zablokować coś, co jest uzasadnione, niż przepuścić złośliwe oprogramowanie. Zawsze możemy naprawić fałszywie pozytywne, ale znacznie trudniej jest naprawić naruszenie bezpieczeństwa.

Zaczęłam korzystać z Apex One w sierpniu 2020 r. Dowiedziałem się, jak przenosić agentów, instalować oprogramowanie i pobierać ich na serwer. Nauczyłem się również z dokumentacji, bazy wiedzy, forów i innych użytkowników. Okazało się, że Apex One jest trudniejszy do opanowania niż PaperCut, ponieważ terminologia i pojęcia są inne. PaperCut to drukowanie i monitorowanie, podczas gdy Apex One to cyberbezpieczeństwo. Istnieje również wiele uwag, które należy rozważyć w przypadku Apex One. Ustawienia skanowania były dla mnie szczególnie trudne. Trend Micro posiada przydatne dokumenty dotyczące najlepszych praktyk, których używałem, aby dowiedzieć się, jakie są normalne ustawienia serwerów i stacji roboczych. Na przykład serwery nie muszą być skanowane pod kątem exploitów dokumentów biurowych, ponieważ zazwyczaj nie mają zainstalowanego pakietu Office. Dowiedziałem się również, że ważne jest zachowanie równowagi między bezpieczeństwem a wydajnością. Nie chcemy skanować serwerów tak mocno, że spowalnia to ich działanie, ale nie chcemy również pomijać ważnych kontroli bezpieczeństwa. W styczniu 2021 r. zmieniliśmy politykę dotyczącą ustawień bezpieczeństwa. Teraz informujemy użytkowników, że jeśli wystąpią jakiekolwiek problemy, naprawimy je. Wolimy mieć mały problem, który możemy szybko naprawić, niż przywrócić serwer z kopii zapasowej, co może potrwać dni.

ApexOne zapewnia wirtualne poprawki, znane również jako ochrona przed lukami w zabezpieczeniach, aby chronić je przed lukami w zabezpieczeniach, zanim zostaną wykorzystane. Deep Security i Workload Security nazywają tę funkcję zapobieganiem włamaniom, ale to jest w zasadzie to samo.