Защита без иллюзий: что должен уметь современный корпоративный антивирус

Не только Windows: почему бизнесу важна защита всей инфраструктуры

Корпоративная инфраструктура давно перестала состоять только из офисных компьютеров. Многие сотрудники работают удаленно, компании используют устройства на Linux и macOS, смартфоны сотрудников, виртуальные среды и облачные сервисы. Каждый такой элемент становится потенциальной точкой входа для злоумышленников.

Сегодня для защиты инфраструктуры используются решения, которые в профессиональной среде относят к классу EPP (Endpoint Protection Platform, платформа защиты конечных точек. — Прим. ред.) — платформ для защиты конечных устройств. В отличие от классического антивируса, EPP объединяет сразу несколько технологий безопасности: защиту от вредоносного ПО, поведенческий анализ, облачные проверки и инструменты предотвращения атак. Такой подход помогает бороться не только с известными угрозами, но и с новыми сценариями, которые еще не успели попасть в базы антивирусных компаний (так называемыми атаками нулевого дня, zero-day).

EPP-решения Kaspersky поддерживают Windows, Linux, macOS, мобильные устройства и виртуальные среды, а управление ими осуществляется через единую консоль Kaspersky Security Center.

Почему современный антивирус ищет не только вирусы

Основа классического антивируса — сигнатуры, то есть цифровые отпечатки уже известных вредоносных программ. Когда файл попадает на устройство, система сравнивает его с базой известных угроз. Такой подход по-прежнему работает против массового вредоносного ПО, но сегодняшние атаки все чаще используют методы, которые позволяют обходить сигнатурную защиту.

Злоумышленники активно применяют фишинг, кражу учетных данных, системные инструменты и бесфайловые атаки, при которых вредоносный код может вообще не сохраняться на диск.

Поэтому современные EPP-платформы используют сразу несколько уровней защиты. Один из них — поведенческий анализ. Вместо поиска только известных угроз система отслеживает действия программ и может выявлять подозрительную активность еще до того, как она приведет к инциденту.

Также значительную роль играет машинное обучение. Алгоритмы анализируют характеристики файлов и помогают выявлять подозрительные объекты еще до запуска, даже если они ранее не встречались специалистам по безопасности. В Kaspersky Endpoint Security технологии машинного обучения работают совместно с другими механизмами защиты и помогают обнаруживать новые угрозы до появления сигнатур.

Репутация файлов и облачные проверки

Сегодня системы защиты оценивают не только содержимое файла, но и его репутацию. Они учитывают, насколько распространен объект, когда он появился и встречался ли раньше на других устройствах.

Примером такой технологии служит Kaspersky Security Network (KSN) — глобальная облачная сеть обмена данными об угрозах. По данным компании, система получает анонимизированную информацию от миллионов добровольно подключенных пользователей по всему миру и охватывает более 200 стран и территорий.

Пользователи решений Kaspersky для защиты конечных устройств могут использовать данные KSN для дополнительной проверки подозрительных объектов и более быстрого выявления новых угроз.

Защита начинается еще до взлома

Современная кибербезопасность строится не только на обнаружении угроз, но и на их предотвращении. Специалисты называют это сокращением поверхности атаки: чем меньше возможностей остается у злоумышленника, тем сложнее провести атаку.

Такой подход может включать ограничение опасных сценариев работы приложений, контроль отдельных действий пользователей и снижение числа потенциальных точек входа для злоумышленников. Задача этих механизмов — остановить атаку еще до того, как она перейдет в активную фазу.

В современных EPP-решениях, включая Kaspersky Endpoint Security, такие механизмы, как сетевой экран, веб-контроль, контроль запуска приложений, патч-менеджмент и многие другие, работают вместе с технологиями обнаружения угроз и дополняют традиционную антивирусную защиту.

Что будет дальше: EDR, MDR и развитие защиты

По мере роста бизнеса одной защиты рабочих устройств может быть недостаточно. Тогда компании начинают использовать решения классов EDR (Endpoint Detection and Response, обнаружение и реагирование на угрозы на конечных точках. — Прим. ред.) и MDR (Managed Detection and Response, управляемое обнаружение и реагирование. — Прим. ред.).

Если EPP в первую очередь отвечает за предотвращение атак, то EDR помогает расследовать инциденты и понимать, что происходило в инфраструктуре до и после обнаружения угрозы. А MDR предполагает подключение внешней команды экспертов, которая помогает отслеживать угрозы и реагировать на них.

Поэтому сегодня антивирус все чаще рассматривают как часть более широкой платформы управления киберрисками. В частности, экосистема Kaspersky позволяет постепенно расширять возможности защиты за счет EDR-, MDR- и XDR-инструментов без полной замены существующей инфраструктуры.

Для бизнеса это возможность выстраивать защиту поэтапно: начать с базового уровня и добавлять новые инструменты по мере роста компании и увеличения количества угроз.