Улучшенные механизмы выявления угроз в BI.ZONE EDR
Компания BI.ZONE представила новую версию BI.ZONE EDR, в которой появилась возможность настраивать расписание задач. В агенте для Windows расширены возможности построения сложных алгоритмов выявления угроз и внедрен графический интерфейс, упрощающий работу пользователя. В Linux-агенте добавилась функция мониторинга операций с объектами инвентаризации, возможность автономного реагирования, а также расширен механизм обогащения и сбора событий для выявления угроз в контейнерных средах Podman.
Благодаря возможности настраивать расписание запуска задач повторяющиеся рутинные задачи (например, регулярное сканирование ОС YARA-правилами) теперь могут выполняться автоматически по заданному расписанию.
Новые функции в версии для Windows значительно расширяют возможности построения сложных алгоритмов для выявления вредоносного поведения на устройстве. Теперь можно динамически присваивать произвольные пользовательские атрибуты объектам процессов и файлов, а также гибко сохранять произвольные данные для дальнейшего обращения и работы с ними. Например, это позволяет «запоминать» текущее состояние отдельных атрибутов объектов ОС, чтобы в дальнейшем использовать эти данные в логике выявления угроз. Эти доработки помогают выстраивать более сложные детектирующие алгоритмы, в рамках которых необходима ретроспективная контекстная информация об исследуемых объектах, а также где необходима логика обнаружения, выстроенная на цепочках событий.
Среди ключевых изменений в версии BI.ZONE EDR для Linux – мониторинг операций с объектами инвентаризации. Эта функция позволяет вести непрерывный мониторинг изменений в критических объектах ОС. Кроме информации о процессе – инициаторе операции, будут доступны данные как о самом измененном объекте, так и о том, какие изменения были внесены, например, информация о том, какой именно параметр был изменен в конфигурационном файле.
Кроме того, в новой версии продукта получили дальнейшее развитие возможности автономного реагирования на Linux. В рамках процесса реагирования пользователь может запустить любую произвольную команду, а также получить результат ее выполнения. Это позволяет не ограничиваться исключительно встроенным набором функций по реагированию, а при необходимости использовать собственные скрипты, если этого требует специфика ИТ-инфраструктуры или процессов компании.
Для модуля Linux также реализована поддержка контейнерного движка Podman. Это расширило возможности управления событиями и их анализа в контейнерной среде. В частности, пользователям и администраторам стали доступны такие события, как инвентаризация запущенных и остановленных контейнеров, факт запуска или остановки контейнера, обогащение событий запусков процессов и обращений к файлам данными о контейнере. На данный момент в BI.ZONE EDR поддерживается мониторинг трех контейнерных движков: Docker, ContainerD, Podman.
Другие важные обновления BI.ZONE EDR – новые события телеметрии и возможности их обогащения, графический интерфейс агента управления для Windows, который отображает перечень установленных модулей, связь с сервером, состояние самозащиты и сетевой изоляции, улучшения механизмов сбора телеметрии в Linux (сбор событий процессов через eBPF), а также улучшения в рамках производительности решения на Linux-платформах за счет внедрения механизмов кеширования и ряда оптимизаций механизмов сбора инвентаризационной информации.