מה זה PHASR של Bitdefender, ואיך הוא מצמצם את משטח התקיפה?

PHASR הוא מודול הקשחה של Bitdefender GravityZone. לפי Bitdefender, GravityZone PHASR (Proactive Hardening and Attack Surface Reduction) בונה פרופיל התנהגות ייחודי לכל משתמש קצה, מזהה לאילו כלים ופעולות במחשב הוא צריך גישה, ומגביל אוטומטית את כל השאר. אופק דיסט, חברת הפצה, ייעוץ ותמיכה בפתרונות אבטחת מידע, ענן ותקשורת, שפועלת מאז 2006 ומשרדיה בפתח תקווה, מפיצה בישראל את Bitdefender GravityZone ומוכרת את מודולי הפלטפורמה, בין השאר PHASR.

בקצרה

• לפי Bitdefender, PHASR מגביל כלים מובנים כמו PowerShell, WMI ו-PsExec רק לפעולות הלגיטימיות שכל משתמש מבצע, כך שתוקפים לא יכולים להשתמש בהם למטרות זדוניות.
• לפי Bitdefender, בשונה מכלי הקשחה סטטיים, PHASR מייצר מדיניות ייחודית לכל משתמש לפי ההתנהגות שלו בפועל, והיא מתעדכנת אוטומטית כשההתנהגות משתנה.
• לפי תיעוד Bitdefender, PHASR דורש מודול EDR מותקן ומופעל, ושלב הלמידה נמשך 30 עד 60 יום, ואם יש די נתוני EDR היסטוריים, המלצות יכולות להיווצר גם מיידית.

מה זה משטח תקיפה, ולמה כלים מובנים הם חלק ממנו?

לפי NIST (SP 800-53 Rev. 5), משטח תקיפה הוא קבוצת הנקודות על גבול מערכת, רכיב מערכת או סביבה, שבהן תוקף יכול לנסות להיכנס, להשפיע או לחלץ מידע מאותה מערכת, רכיב או סביבה. כלי ניהול שקיימים במחשבי Windows, או שמנהלי מערכת מתקינים בהם, הם חלק מהמשטח הזה, כי תוקף שנכנס יכול להשתמש בהם בלי להביא תוכנה זדונית משלו.

לפי Bitdefender, קבוצות כופרה מנצלות לרעה כלים מובנים כמו PowerShell, WMI ו-PsExec כדי לנוע לרוחב הרשת ולהפעיל קוד זדוני לפני שצוותי האבטחה מספיקים לחקור התראות ולהגיב. לפי Bitdefender, רוב התראות ה-EDR וה-XDR שמעורבים בהן כלים אמינים קשות לטיפול, כי הכלי עצמו לגיטימי.

• PowerShell: שפת סקריפטים וניהול שמובנית ב-Windows.
• WMI: ממשק ניהול שמאפשר להריץ פעולות מרחוק.
• PsExec: כלי מחבילת Sysinternals של Microsoft להרצת תהליכים במחשבים מרוחקים, שמנהלי מערכת מתקינים בעצמם.

איך PHASR עובד?

לפי Bitdefender, GravityZone PHASR בונה פרופיל התנהגות ייחודי לכל משתמש קצה, מזהה לאילו כלים ופעולות הוא צריך גישה, ומגביל אוטומטית את כל השאר. לפי Bitdefender, המודול מגביל כל כלי רק לפעולות הלגיטימיות שכל משתמש מבצע, כך שתוקפים לא יכולים להשתמש בכלים האלה למטרות זדוניות גם אם השיגו גישה לנקודת הקצה.

לפי Bitdefender, PHASR מאפשר הגבלה פרטנית של התנהגויות מסוכנות בתוך כלים מותרים, למשל לאפשר PowerShell אבל לחסום פקודות מוצפנות. לפי Bitdefender, כשהמודול מגביל כל כלי רק למה שכל משתמש באמת צריך, ההתראה על כלי אמין כלל לא נוצרת.

מה ההבדל בין PHASR להקשחה סטטית ול-EDR?

לפי Bitdefender, כלי הקשחה סטטיים מחילים את אותם כללים על כל נקודת קצה, ואילו GravityZone PHASR מייצר מדיניות ייחודית לכל משתמש לפי ההתנהגות שלו בפועל. לפי Bitdefender, אם ההתנהגות משתנה, המדיניות מתעדכנת אוטומטית, ואם רק חלק מהמשתמשים עובדים עם הכלי, ההגבלה חלה רק על מי שלא צריך אותו.

PHASR לא מחליף EDR. לפי Bitdefender, PHASR פועל לצד GravityZone EDR ו-GravityZone XDR ותומך גם בכלי EDR של יצרנים אחרים. לפי Bitdefender, הוא מצמצם את משטח התקיפה שתוקפים מנצלים כדי להתחמק מזיהוי EDR, ובכך מגדיל את התועלת מה-EDR הקיים.

מה נדרש כדי להפעיל PHASR, וכמה זמן נמשכת הלמידה?

לפי תיעוד Bitdefender, כדי ש-PHASR יפעל בנקודת קצה נדרשים GravityZone Control Center, סוכן BEST (Bitdefender Endpoint Security Tools) מותקן במחשבי Windows, Linux או macOS, מודול EDR מותקן ומופעל, והפעלת התכונות EDR ו-Risk Management במדיניות. לפי Bitdefender, המודול משולב בפלטפורמת GravityZone, ולקוחות קיימים יכולים להפעיל אותו ולהתחיל לזהות סיכונים בתוך דקות. ההפעלה מהירה, אבל המלצות ההקשחה עצמן נוצרות בדרך כלל אחרי שלב למידה.

לפי תיעוד Bitdefender, שלב הלמידה של PHASR נמשך לפחות 30 יום ויכול להתארך עד 60 יום, בהתאם לכלל ההקשחה, אבל המלצות יכולות להיווצר גם מיידית אם יש די נתוני EDR היסטוריים. כדאי לתכנן את ההפעלה כך ששלב הלמידה יכסה חודש עבודה רגיל, כולל פעולות שמבצעים רק פעם בחודש, כמו סגירת חודש בהנהלת חשבונות או עדכוני מערכת.

למי PHASR מתאים, ואיך רוכשים אותו?

לפי Bitdefender, PHASR עוזר לצוותים קטנים לעצור באופן יזום כופרה ודליפות מידע, תוך צמצום מורכבות ושיפור יעילות האבטחה. לפי Bitdefender, PHASR זמין כרישיון תוסף ל-GravityZone Business Security Enterprise, לחבילות MDR ול-GravityZone Cloud MSP Security Solutions, וגם כמוצר עצמאי שמתאים לכלי EDR/XDR של צד שלישי.

אופק דיסט מוכרת את מודולי GravityZone, בין השאר PHASR, הצפנת דיסק, ניהול עדכונים וניהול סיכונים וחולשות. כדאי לבדוק מראש איזה רישיון GravityZone קיים בארגון, כי לפי Bitdefender PHASR נמכר גם כתוסף לרישיונות GravityZone מסוימים וגם כמוצר עצמאי.

Summary

PHASR הוא מודול של Bitdefender GravityZone שמקשיח נקודות קצה לפי ההתנהגות של כל משתמש. לפי Bitdefender, הוא מגביל כלים מובנים רק לפעולות הלגיטימיות, מתעדכן אוטומטית כשההתנהגות משתנה, ופועל לצד EDR ו-XDR. לפי תיעוד Bitdefender, הוא דורש מודול EDR מופעל, ושלב הלמידה נמשך 30 עד 60 יום, ואם יש די נתוני EDR היסטוריים, המלצות יכולות להיווצר גם מיידית. אופק דיסט מפיצה בישראל את GravityZone ומוכרת את מודולי הפלטפורמה, בין השאר PHASR.

לתיאום ייעוץ, צוות אופק דיסט זמין בטלפון 073-22-00-123.

שאלות נפוצות על PHASR