Оновлення пристроїв і сповіщення EDR

Що таке Оновлення пристроїв і сповіщення EDR?

В області сповіщень блимає сповіщення EDR: процес, запущений з електронної таблиці з підтримкою макросів, спробував дістатися до пам'яті з обліковими даними, а статус — «Частково заблоковано», тобто не заблоковано. Ця вправа проведе вас порталом EDR, щоб ви зрозуміли, що це означає: подробиці сповіщення, ознаки поведінки й критичне оновлення, яке вже три дні чекає встановлення. Викрадені облікові дані вже випробовують на вашому обліковому записі. Ви встановлюєте оновлення через Налаштування Windows і подаєте повний звіт про інцидент.

Що ви дізнаєтесь у Оновлення пристроїв і сповіщення EDR

• Читайте подробиці сповіщення EDR та ознаки поведінки, як-от доступ до пам'яті з обліковими даними, прихований PowerShell і невідомі вихідні з'єднання
• Усвідомлюйте: сповіщення «Частково заблоковано» означає, що могла бути завдана реальна шкода, тож встановлюйте оновлення та повідомляйте про інцидент
• Перевіряйте стан оновлень свого пристрою й встановлюйте невстановлене критичне оновлення безпеки через налаштування оновлень операційної системи
• Повідомляйте про справжні сповіщення EDR належними каналами й точно описуйте побачене
• Розумійте, чому оновлення кінцевих пристроїв зменшують поверхню атаки на організацію: вони закривають відомі вразливості, на які розраховані набори експлойтів

Оновлення пристроїв і сповіщення EDR — Кроки навчання

1. Вступ

   Сьогодні ви дізнаєтеся, як системи виявлення і реагування на загрози на пристроях (EDR) стежать за вашим робочим комп'ютером, шукаючи загрози, і що робити, коли вони помічають щось підозріле.

2. Звичайний четвер

   Четвер, по обіді. Аліса закінчує квартальний аналітичний звіт, коли внизу екрана, в області сповіщень, помічає щось незвичне. Маленький значок щита блимає помаранчевим: це корпоративний агент EDR намагається привернути її увагу.

3. Сповіщення EDR

   Ось що означає це сповіщення EDR: Sentinel Shield EDR — сповіщення Серйозність: Висока Тип: Підозріла поведінка процесу Подробиці: Процес спробував дістатися до чутливих ділянок пам'яті. Така поведінка характерна для інструментів, що викрадають облікові дані. Статус: Частково заблоковано — потрібна негайна дія Рекомендація: перегляньте подробиці сповіщення, встановіть оновлення безпеки, що очікує встановлення, і повідомте про інцидент.

4. Вхід на портал EDR

   Аліса натиснула «Докладніше», і в браузері відкрився портал Sentinel Shield EDR. Щоб побачити повні подробиці сповіщення й стан захисту кінцевого пристрою, потрібно ввійти.

5. Панель EDR

   Панель порталу EDR показує стан робочого комп'ютера Аліси одним поглядом: Стан кінцевого пристрою: захищено Останнє сканування: сьогодні, 14:30 Виявлено загроз: 1 (сьогодні) — Частково заблоковано Версія агента: 8.2.1 (актуальна) Стан оновлень: 1 оновлення очікує встановлення Доступне критичне оновлення безпеки KB5035853 Очікує вже 3 дні Аліса бачить, що статус сповіщення — «Частково заблоковано», тобто не повністю заблоковано. Через відсутнє оновлення безпеки зловмисник ненадовго отримав доступ.

6. Подробиці сповіщення

   З подробиць сповіщення видно, що сталося: ID сповіщення: EDR-2024-847291 Час виявлення: сьогодні, 14:47 Статус: Частково заблоковано Процес: svchost_update.exe (підозріла назва, що маскується під справжній системний процес) Джерело: завантажений файл «Q3_Budget_Summary.xlsm» — виконання макросу Ознаки поведінки: Спроба дістатися до пам'яті LSASS (сховище облікових даних) Запуск прихованого процесу PowerShell Спроба встановити мережеве з'єднання з невідомою зовнішньою IP-адресою Вжита дія: процес завершено після часткового виконання — можливий витік облікових даних Алісу пробирає холод. Процес не просто заблокували: він працював достатньо довго, щоб потенційно викрасти її облікові дані, перш ніж EDR його завершив.

7. Перевірка стану оновлень

   На сторінці зі станом оновлень видно: Оновлення операційної системи: KB5035853 (критичне оновлення безпеки) — ОЧІКУЄ ВСТАНОВЛЕННЯ — 3 дні KB5034123 (оновлення функцій) — встановлено KB5033891 (оновлення безпеки) — встановлено Невстановлене критичне оновлення (KB5035853) закриває вразливість CVE-2024-26169 у службі Windows Error Reporting: через неї код, який уже працює з правами звичайного користувача, може підвищити їх до SYSTEM. Саме таке підвищення привілеїв використали в сьогоднішній атаці, щойно спрацював макрос. Оскільки оновлення чекало 3 дні, вразливість була відкрита, коли зловмисник атакував. EDR зупинив шкідливу поведінку, але саме через невстановлене оновлення стався частковий витік облікових даних. Аліса бачить, що кнопки встановлення тут немає: EDR стежить за станом оновлень, а встановлюють їх через Налаштування Windows .

8. Наслідки

   Поки Аліса переглядає відомості про оновлення, надходить новий лист. Від його теми в Аліси все обривається всередині. Служба ІТ-безпеки виявила підозрілі спроби входу до її облікового запису з невідомої IP-адреси у Східній Європі — за останні 15 хвилин. Витік облікових даних, про який попереджало сповіщення EDR, — не припущення: хтось уже намагається скористатися її скомпрометованими обліковими даними.

9. Перевірка знань

10. Встановлення оновлення

    За вказівками служби ІТ-безпеки Аліса відкриває Налаштування Windows, щоб встановити критичне оновлення безпеки, яке очікує вже 3 дні. Ось як насправді встановлюють оновлення ОС: через налаштування оновлень операційної системи, а не через портал EDR.