Що таке ThreatLocker® Detect?

ThreatLocker® Detect — це рішення класу EDR (Endpoint Detection and Response), засноване на політиках безпеки. Воно є частиною платформи ThreatLocker Endpoint Protection та відстежує аномальну активність або індикатори компрометації (IoC). У разі виявлення загрози система автоматично надсилає сповіщення та виконує відповідні дії.
ThreatLocker Detect використовує телеметричні дані з інших модулів ThreatLocker і журналів подій Windows. Це забезпечує глибоку аналітику стану безпеки в організації, допомагаючи виявляти та нейтралізовувати потенційні кібератаки.

Чому ThreatLocker® Detect?

ThreatLocker Detect має суттєву перевагу над іншими EDR-рішеннями у виявленні та реагуванні на потенційні загрози. Його вдосконалені алгоритми ідентифікують відомі шкідливі дії та охоплюють ширший спектр подій, включаючи невідомі атаки.
Автоматизовані дії Detect дозволяють застосовувати політики, розривати підключення пристроїв до мережі, надавати адміністраторам критичну інформацію або активувати режим ізоляції (Lockdown). У цьому режимі блокується запуск процесів, мережевий доступ і доступ до накопичувачів — забезпечуючи максимальний рівень захисту.
Detect також здатний виявляти інструменти віддаленого доступу, підозрілу активність PowerShell, нетиповий трафік RDP або багаторазові невдалі спроби входу. Він також фіксує спроби видалення журналів подій або виявлення шкідливого ПЗ Windows Defender.
Цей проактивний підхід дозволяє організаціям оперативно виявляти загрози та реагувати до того, як вони завдадуть значної шкоди.

Як працює ThreatLocker Detect?

ThreatLocker Detect постійно моніторить поведінку довірених і недовірених застосунків на всіх пристроях, де встановлений агент ThreatLocker. ІТ-фахівці можуть створювати власні правила та політики прийняття рішень без залежності від AI чи закритих алгоритмів.
Ці політики можуть включати набір умов або реакцій на певну поведінку, яка свідчить про потенційне порушення безпеки.
Коли умови виконуються, ThreatLocker Detect автоматично реагує відповідно до заданих правил. Агент постійно оцінює події в режимі реального часу навіть без підключення до інтернету. Це забезпечує реакцію за мілісекунди та дозволяє повністю контролювати пріоритети й дії системи.
Такий рівень автоматизації гарантує, що всі дії з реагування на інциденти узгоджуються з загальною стратегією кібербезпеки вашої організації.
Додатково:ThreatLocker також пропонує рекомендовані політики, засновані на фреймворках MITRE та CISA IoC. Через платформу ThreatLocker Community ІТ-спеціалісти можуть ділитися створеними політиками з іншими учасниками спільноти.

Виявлення аномалій у Microsoft 365

ThreatLocker Detect виявляє підозрілу або небажану активність у вашому хмарному середовищі Microsoft 365, яка може свідчити про кібератаку.Політики Detect для хмари аналізують журнали Microsoft 365 та Microsoft Graph API і сповіщають адміністраторів про потенційні ознаки компрометації.
Політики можна налаштовувати відповідно до ваших потреб, використовуючи будь-які поля з логів Microsoft 365 або Graph API.

У зв'язці з Microsoft Entra P2 ThreatLocker Detect фіксує:
- Користувачі з скомпрометованими обліковими данимиЯкщо облікові дані потрапили в витік, спрацьовує підвищений рівень ризику.- Вхід з анонімних IP-адресВважається ризикованим, якщо користувач входить без ідентифікації з невідомої IP-адреси.- Вхід із географічно неможливого місцяНаприклад, якщо система фіксує логіни з різних континентів за короткий час спрацьовує попередження.- Вхід з інфікованого пристроюЯкщо користувач входить з пристрою, відомого наявністю шкідливого ПЗ — це вважається високим ризиком.

Інтуїтивна аналітика з ThreatLocker Detect Dashboard

ThreatLocker Detect Dashboard перетворює дані про інциденти та сповіщення з вашого середовища на зручні для сприйняття графіки — стовпчикові діаграми, лінійні графіки та кругові діаграми.Завдяки продуманому інтерфейсу ви миттєво отримуєте інсайти із підказками для глибшого аналізу та оперативних дій.Усі дії щодо реагування фіксуються разом із причинами їх виконання.

У панелі управління Detect ви отримуєте доступ до ключової інформації:- найкритичніші сповіщення- активи, які зазнали впливу- інциденти, які вже усунено- хибні спрацювання- групи пристроїв або користувачів, які постраждали- рекомендації Cyber Hero з можливістю автоматичного усунення проблем
Панель також виконує роль аудиту:ви бачите всі попередні інциденти, як саме було відреаговано, та чому - це сприяє безперервності знань, покращує майбутні рішення з кібербезпеки та забезпечує стратегічну узгодженість реагування.