對10種高級終端防護產(chǎn)品進行廣泛測試后，一系列業(yè)界趨勢浮現(xiàn)出來：
1. 病毒簽名已過時
近幾年來，在網(wǎng)上充斥的幾乎自動化的病毒構建包面前，為每個病毒賦予一個唯一簽名的做法實在不夠看。今天的很多高級終端防護產(chǎn)品，都利用報告最新攻擊的安全新聞反饋，比如VirusTotal.com和其他信譽管理服務。有些產(chǎn)品，比如CrowdStrike，與大量安全和日志管理工具集成，以便在發(fā)現(xiàn)攻擊趨勢上更有效。
2. 跟蹤可執(zhí)行程序已成明日黃花
惡意軟件早期，漏洞利用包通常都會在終端上留下某種載荷或殘留：文件、注冊表鍵什么的。后來，壞人也進修升級了，惡意進程運行在內(nèi)存中，幾乎追蹤不到它們的活動，或者隱藏在PDF或Word文檔中，要不干脆就強制用戶瀏覽器訪問包含有Java漏洞利用代碼的釣魚網(wǎng)站。
今天的黑客則更為高端，利用 Windows PowerShell 建立遠程命令shell，傳遞文本命令，幾乎不留痕跡地入侵終端。為有效應對這一新型入侵行為，今天的防護產(chǎn)品將目光放在了攻擊者對終端的影響上：看有沒有釋放什么文件，包括乍看之下像是良性文本的文件；或者對Windows注冊表有沒有做什么修改。想找出這些并不容易，很多產(chǎn)品都專注于這一領域以防止壞人獲取用戶電腦的控制權。
3. 產(chǎn)品能否跟蹤權限提升或其他憑證欺詐活動？
在安裝SQL服務器或其他什么產(chǎn)品時，有時候會留下一些使用了默認設置的合法用戶憑證，現(xiàn)代攻擊者便會試圖利用這些憑證滲透公司網(wǎng)絡，然后再提升權限，成為域管理員或其他擁有更高網(wǎng)絡權限的重要用戶。
4. 內(nèi)部人威脅愈加致命，封鎖他們也變得更為艱難
傳統(tǒng)殺毒防護產(chǎn)品不起作用的原因之一，便是因為攻擊者可以從以前信任的終端，獲取到公司內(nèi)部網(wǎng)絡的訪問權，從而大搞破壞。要封鎖此類行為，今天的工具需要映射內(nèi)部或橫向網(wǎng)絡活動，追蹤哪些PC被入侵，并在整個網(wǎng)絡陷落前控制住局勢。
5. 數(shù)據(jù)滲漏愈演愈烈
將私人用戶數(shù)據(jù)或機密客戶信息弄出公司網(wǎng)絡就是所謂的數(shù)據(jù)滲漏。不用舍近求遠，看看索尼或塔吉特，就知道EDR工具不得不處理的是什么了。能追蹤這些滲漏的工具還更有用些。
6. 很多工具都采用大數(shù)據(jù)和云分析來追蹤網(wǎng)絡活動
傳感器和代理如此緊湊的原因之一，是很多重要功能都放在云端，云端是實現(xiàn)大數(shù)據(jù)技術和數(shù)據(jù)可視化以發(fā)現(xiàn)并封鎖潛在攻擊的地方。SentinelOne和 Outlier Security 使用這些技術實時關聯(lián)用戶整個網(wǎng)絡中的數(shù)據(jù)。
7. 攻擊報告標準，比如CEF、STIX和OpenIOC，正被集成到今天的終端防護產(chǎn)品中
SentinelOne是例子之一。這是個頗受歡迎的發(fā)展，更多產(chǎn)品有望朝著這一方向前進。
京公網(wǎng)安備 11010502049343號