Настройка защиты конечных точек

Решение Cato's EPP включает три типа движков EPP: File Protection, который сканирует файлы на конечной точке; Behavioral Analysis, который сканирует процессы, выполняемые на конечной точке; и Anti-Exploit, который защищает уязвимости программного обеспечения. Ваши настройки EPP настраиваются в Приложении Управления Cato, предоставляя централизованный способ управления безопасностью по всей Вашей атаковой поверхности. В Профиле защиты конечных точек вы можете настроить уровень защиты каждого движка, чтобы определить, как он реагирует на потенциальные угрозы. Используйте Политику защиты конечных точек для применения Профилей защиты конечных точек к конечному пользователю или конечной точке.

Вы можете добавить файл или процесс в список разрешенных, чтобы предотвратить идентификацию законных файлов или процессов как вредоносных, и для дополнительной защиты вы можете запустить сканирование по требованию на конкретной конечной точке.

Для защиты вашей конечной точки от известного и неизвестного вредоносного ПО, решение EPP от Cato предлагает три уровня защиты для полного решения безопасности. Каждый уровень использует разные методы обнаружения для идентификации и предотвращения различных типов атак.

Чтобы определить, как EPP защищает конечные точки в вашей учетной записи, используйте EPP Профиль для определения уровня Защиты для каждого движка. Затем используйте правила в Политика защиты конечных точек, чтобы определить, на какие конечные точки применяется Профиль. Профиль может быть применен к определённым конечным пользователям, конкретным конечным точкам или к обоим.

Политики защиты конечных точек являются упорядоченной базой правил. Правила из вашей политики применяются к файлам и процессам последовательно, чтобы проверить совпадение правил. Правила, которые находятся на вершине базы правил, имеют более высокий приоритет, потому что они применяются перед правилами, расположенными ниже. Например, если правило №1 имеет Блокировать реакцию для Защиты файлов и применяется к конечной точке, где обнаружен вредоносный файл, файл блокируется. К файлу не применяются другие правила. Последнее правило по умолчанию применяет Профиль по умолчанию ко всем конечным точкам и не может быть отредактировано.

Определение Профиля защиты конечных точек

Профиль EPP определяет настройки Защиты для движка Анализа поведения и Защиты файлов. Вы можете определить разные профили в зависимости от требований для вашей EPP Политики.

Чтобы определить Профиль защиты конечных точек:

1. В меню навигации выберите Безопасность > Защита конечных точек.

2. Выберите вкладку Профили.

3. Нажмите Новый.

   Откроется панель Создать новый профиль защиты конечных точек.

4. Определите настройки для профиля.

5. Нажмите Применить, а затем Сохранить.

Создание Политики защиты конечных точек

Определите правила в Политике EPP с источником и Профилем. Источник может быть идентификацией конечного пользователя или устройством конечной точки, основанным на ID конечной точки. Вы также можете установить уровень защиты (Профиль), который применяется к каждому конечному пользователю или конечной точке (Источник). Это позволяет настроить, как каждый движок EPP используется на каждом конце вашего окружения.

Чтобы создать Политику защиты конечных точек:

1. В меню навигации нажмите Безопасность > Защита конечных точек.

2. Нажмите Новый.

   Открывается панель Создать новое правило политики защиты конечных точек.

3. Определите Имя, Описание, Источник, и Профиль для этого правила.

4. (По желанию) Настройте параметры отслеживания, чтобы генерировать События и Отправить уведомление

   Для получения дополнительной информации об уведомлениях см. соответствующую статью по Группам подписок, Спискам рассылки и Интеграции оповещений в разделе Оповещения.

5. Нажмите Применить.

6. Повторите шаги 2-5 для каждого правила в Политике защиты конечных точек.

7. Включите Политику защиты конечных точек и нажмите Сохранить.

   Ползунок ( ) зеленый, когда EPP включен, и серый, когда EPP выключен.

Иногда движок EPP может рассматривать легитимный бизнес-процесс как вредоносный. Чтобы предотвратить прерывание легитимных бизнес-процессов за счет защиты конечных точек, вы можете разрешить Объект для конечного пользователя или на конечной точке (Источник). Это означает, что он не сканируется, не блокируется и не перемещается. Для Сканирований по запросу может быть вызвано событие с действием смягчения Игнорировать. Событие для сканирования файлов не создается.

Следующие объекты могут быть разрешены для исполнения конечным пользователем, на конечной точке или обоими:

Сканы по защите файлов запускаются при загрузке или копировании файла на конечную точку, а также при попытке конечного пользователя получить к нему доступ. Кроме того, вы можете запустить сканирование защиты файлов по требованию на конечной точке в любое время. Запустив сканирование Защита Файл по требованию, вы можете идентифицировать существующее Вредоносное ПО на Конечные точки до того, как конечный Пользователь попытается получить к нему Доступ.

По требованию сканирования сравнивают хэш файла SHA256 всех файлов, сохраненных на конечной точке, со списком известных сигнатур вредоносных программ. Если обнаружен вредоносный файл, EPP следует действию, определенному Политикой защиты конечных точек.

После установки агента EPP на ваших конечных точках вы можете протестировать решение, чтобы убедиться, что оно предотвращает вредоносные активности на основе вашей конфигурации Политики защиты конечных точек.

Когда движок EPP сканирует файл или процесс, он сравнивается с базой данных известных вредоносных активностей. Эти базы данных регулярно автоматически обновляются, чтобы гарантировать защиту движков EPP от последних угроз.

Статус обновления базы данных виден на вкладке Статус агента EPP.

Частота обновления базы данных:

База данных, содержащая список известных легитимных файлов, которые не требуют сканирования, обновляется каждые 4 часа.