Bitdefender GravityZone PHASR

Dlaczego potrzebujesz dynamicznego hardeningu stacji?

Atakujący nie musi przynosić własnego malware - wystarczy mu PowerShell, WMI i PsExec, które są już na każdej stacji. Techniki living-off-the-land wykorzystują legalne narzędzia systemowe do ruchu bocznego, eskalacji uprawnień i wdrożenia ładunku ransomware. Dla EDR to trudny przypadek: samo narzędzie jest legalne, a odróżnienie złośliwego użycia od normalnego zajmuje czas, którego w trakcie ataku nie ma.

GravityZone PHASR (Proactive Hardening and Attack Surface Reduction) podchodzi do problemu od drugiej strony: zamiast wykrywać nadużycie po fakcie, ogranicza każde narzędzie do tych akcji, które dany użytkownik faktycznie wykonuje w pracy. Ścieżka ataku znika, zanim ktoś spróbuje nią pójść - niezależnie od tego, jaki EDR działa w organizacji.

Jak to działa?

Profil zachowań per użytkownik i stacja

PHASR buduje z użyciem algorytmów AI odrębny profil dla każdej pary użytkownik-stacja: jakich narzędzi ta osoba używa, jakie akcje wykonuje, czego nie dotyka. Administrator ma jeden profil dla pracy na swojej stacji i osobny dla zadań na serwerach. Profile o podobnym wzorcu są grupowane według obserwowanej aktywności, nie według stanowiska - dzięki temu reguły są spójne dla podobnych użytkowników bez ręcznego zarządzania wyjątkami.

Porównanie z taktykami atakujących

Profile są zestawiane z biblioteką technik atakujących, którą Bitdefender Labs aktualizuje na bieżąco. Tam, gdzie legalne zachowanie użytkownika i działania napastnika się nie pokrywają, PHASR rekomenduje albo samodzielnie wdraża ograniczenie. Blokada działa na poziomie akcji: WMIC pozostaje dozwolony do odczytu informacji o systemie, ale zablokowany do ruchu bocznego; PowerShell działa, ale nie wykona zaszyfrowanych komend.

Faza uczenia i dwa tryby pracy

Po wdrożeniu PHASR uczy się środowiska - zwykle od 30 do 60 dni, zależnie od monitorowanych reguł; jeśli w organizacji działa moduł EDR GravityZone, dane historyczne skracają ten okres do minut. Potem organizacja wybiera tryb: Autopilot wdraża ograniczenia automatycznie w miarę zmian zachowań i zagrożeń, Direct Control przedstawia rekomendacje do przeglądu i akceptacji przez zespół bezpieczeństwa. Użytkownik, któremu PHASR zablokował potrzebne narzędzie, może poprosić o dostęp z uzasadnieniem biznesowym - wniosek trafia do administratora jako rekomendacja.

Główne funkcje

Zakres monitorowania

• Binaria living-off-the-land (LOLBins): PowerShell, WMIC, FTP i inne narzędzia preinstalowane w systemie
• Narzędzia do manipulacji i obchodzenia zabezpieczeń (np. narzędzia do analizy procesów i pamięci)
• Narzędzia do łamania licencji oprogramowania
• Koparki kryptowalut wykorzystywane do cryptojackingu
• Narzędzia zdalnej administracji nadużywane do nieautoryzowanego dostępu
• Każdy typ aktywności konfigurowany osobno: Autopilot, Direct Control albo wyłączenie z monitorowania

Kontrola i widoczność

• Blokowanie na poziomie akcji zamiast całych aplikacji
• Dashboard ASM w konsoli GravityZone: aktualna ekspozycja powierzchni ataku, rekomendacje według wpływu, incydenty w monitorowanych kategoriach
• Metryki redukcji powierzchni ataku przy każdej rekomendacji
• Wgląd w monitorowane reguły i możliwość ich dostrajania w trybie Direct Control

Profile dla agentów AI

• Asystenci i agenci AI działający na stacji dostają własny profil zachowań, niezależny od użytkownika
• Komendy uruchamiane przez agenta są oceniane wobec jego profilu, nie sesji użytkownika - akcje wymuszone np. przez ukryte instrukcje w dokumencie wypadają poza profil i są blokowane (obecnie Windows)

Hardening statyczny vs. PHASR

Obsługiwane platformy i licencjonowanie

Systemy operacyjne: Windows, macOS, Linux (profile dla agentów AI obecnie na Windows).

Wdrożenie: jako komponent agenta GravityZone (BEST) w ramach platformy albo jako samodzielny agent w środowisku, w którym działa już EDR/XDR innego producenta; zarządzanie w obu wypadkach z konsoli GravityZone lub przez API. Przy samodzielnym agencie fazy uczenia nie da się skrócić danymi EDR.

Licencja: PHASR jest licencjonowany osobno - jako samodzielna licencja albo jako dodatek do wybranych pakietów GravityZone. Czy Twój pakiet go obejmuje i w jakim wariancie, potwierdzi handlowiec nFlo.

Dla kogo?

• Organizacje z małym zespołem bezpieczeństwa - hardening, który sam nadąża za zmianami zachowań, bez ręcznego zarządzania wyjątkami
• Firmy po incydencie z użyciem narzędzi systemowych - zamknięcie ścieżki ataku, którą EDR wykrył za późno
• Organizacje z EDR innego producenta - dodatkowa warstwa prewencji bez wymiany istniejącego stosu
• MSP i MSSP - spójne, behawioralne utwardzanie środowisk wielu klientów bez dodatkowego personelu

Jak GravityZone PHASR wspiera NIS2 i uKSC?

PHASR dokłada do wymagań art. 8 uKSC i art. 21 NIS2 prewencję, która działa przed detekcją - dwa z dwunastu obszarów, których pełne mapowanie opisujemy w artykule jak GravityZone wspiera NIS2 i uKSC:

• Cyberhigiena i redukcja powierzchni ataku - profil zachowań per użytkownik ogranicza narzędzia systemowe, koparki i narzędzia zdalnej administracji do akcji faktycznie potrzebnych w pracy; dashboard ASM pokazuje, ile ścieżek ataku zostało zamkniętych.
• Cyberodporność i ograniczanie skutków ransomware - grupy ransomware nadużywają PowerShell, WMI i PsExec do ruchu bocznego i wdrożenia ładunku; blokowanie tych akcji na poziomie profilu odbiera im drogę rozprzestrzeniania, zanim zadziała detekcja.

Który z tych obszarów jest u Ciebie luką, sprawdzimy w ramach usługi NIS2 Readiness Check - Audyt zerowy.

Kto podlega ustawie, terminy i kary - zbiera nasz hub NIS2. GravityZone nie zastępuje SZBI, formalnego zarządzania ryzykiem, audytu ani odpowiedzialności organizacji za obowiązki z NIS2 i uKSC - wspiera ich techniczną część.

Dlaczego wdrożyć z nFlo?

• Planujemy fazę uczenia i wybór trybu (Autopilot / Direct Control) pod kulturę pracy organizacji
• Przeglądamy pierwsze rekomendacje razem z zespołem, zanim ograniczenia trafią na stacje administratorów
• Łączymy PHASR z istniejącym EDR/XDR - GravityZone albo innego producenta - bez wymiany stosu
• Wpisujemy metryki redukcji powierzchni ataku w raportowanie do przeglądów bezpieczeństwa i audytów