انتشار PoC Exploit برای آسیب‌پذیری zero-day بحرانی در محصولات Fortinet
۱۴۰۴/۰۳/۱۹
شرکت Kaspersky در نسخه جدید راهکار امنیتی خود، Kaspersky Endpoint Security، مجموعه‌ای از قابلیت‌های پیشرفته و بهبودهای فنی را ارائه کرده است که به ارتقاء سطح امنیت، کارایی و مدیریت سیستم‌ها در محیط‌های سازمانی کمک می‌کند.
Kaspersky Endpoint Security اکنون شامل قابلیت‌ها و بهبودهای زیر است:
- مکانیزم رهگیری رویدادهای سیستمی بر پایه‌ی updatable kernel module پیاده سازی شده است (در حالت Light Agent در دسترس نیست). در صورتی که سیستم‌عامل از fanotify پشتیبانی کرده و سایر الزامات لازم برای نصب updatable kernel module را فراهم کرده باشد، امکان پیکربندی نرم‌افزار به گونه‌ای وجود دارد که از این ماژول بهره‌برداری کند. Updatable kernel module در بسته نصب نرم‌افزار گنجانده شده است.
- استفاده از updatable kernel module موجب بهبود عملکرد مؤلفه Anti-Cryptor می‌شود و امکان شناسایی گسترده‌تری از انواع باج‌افزار (ransomware) را فراهم می‌سازد. این قابلیت در حالت Light Agent در دسترس نیست.
- مؤلفه جدیدی با عنوان Exploit protection به نرم‌افزار اضافه شده است که در حالت Light Agent در دسترس نیست. این مؤلفه از طریق Exploit Prevention، کدهای مخربی را که با بهره‌برداری از آسیب‌پذیری‌های سیستم به دنبال کسب دسترسی‌های سطح بالا یا انجام فعالیت‌های مخرب هستند، شناسایی و بررسی می‌کند.
- مؤلفه‌ی Device Control بهبود یافته است:
- قابلیت تعریف لیست کاربران یا گروه‌هایی که دستگاه‌های متصل برای آن‌ها به عنوان trusted (قابل اعتماد) شناخته می‌شوند، فراهم شده است. این امکان به مدیران اجازه می‌دهد کنترل دقیق‌تری بر دسترسی‌ها داشته باشند.
- امکان پیکربندی دسترسی به دستگاه‌های ذخیره‌سازی ((storage به صورت Read-Only Access فراهم شده است.
- سیستم اطلاع‌رسانی رویدادها بهبود یافته است؛ به طوری که رویدادهای جدیدی افزوده شده و متن‌های نمایش داده شده در افزونه‌هاplug-in) ها (و محیط command line، شفاف‌تر و هماهنگ‌تر ارائه می‌شوند.
- ادغام گسترده‌تر با Kaspersky Managed Detection and Response:
- امکان ایزوله سازی دستگاه از شبکه.
- قرنطینه کردن یا بازگرداندن فایل‌ها از قرنطینه.
- اجرا یا خاتمه دادن یک process.
- فعالسازی مؤلفه‌ی MDR با وارد کردن license key.
- اکنون در بخش Behavior Detection این قابلیت اضافه شده است که بتوانید مشخص کنید آیا یک فرآیند (process) از اسکن توسط MDR و EDR (KATA) مستثنی شود یا تحت بررسی قرار بگیرد. این امکان به شما کنترل بیشتری بر فرآیندهای تحت نظارت می‌دهد.
- قابلیت تعریف proxy server exclusions به راهکار اضافه شده است. این ویژگی به شما اجازه می‌دهد مشخص کنید که کدام مؤلفه‌ها باید اتصال مستقیم برقرار کنند و از proxy عبور نکنند و همچنین لیستی از آدرس‌هایی را تعریف کنید که proxy برای آن‌ها استفاده نشود. لازم به ذکر است که در حالت Light Agent، اتصال به Kaspersky Security Network، SVM و Integration Server از طریق proxyپشتیبانی نمی‌شود.
- امکان تنظیم traffic interception exclusions از طریق plug-inهای مدیریتی یا command line فراهم شده است.
- می‌توان فایل‌های log پایگاه داده را به صورت موقت از اسکن مستثنی کرد. اگر فایلی ظرف ۱۰ دقیقه اخیر توسط همان فرآیند استفاده شده باشد، از اسکن مجدد آن صرف نظر می‌شود.
- هنگام ارث بری تنظیمات از policy والد به policy فرزند، اکنون این قابلیت فراهم شده است که موارد موجود در لیست exclusion به صورت ترکیبی اعمال شوند.
- قابلیت export و import لیست‌های exclusion در policies و tasks از طریق web plug-in افزوده شده است.
- هنگام ساخت بسته نصب یا در تنظیمات بسته نصب در Administration Console می‌توان تنظیمات اولیه نرم‌افزار را تعریف کرد.
- قابلیتی اضافه شده است که به شما این امکان را می‌دهد تا استفاده از KSN proxy server برای ارتباط با KSN servers را فعال یا غیرفعال کنید (این قابلیت در حالت Light Agent در دسترس نیست). در صورت فعال بودن، ارتباط از طریق سرویس KSN Proxy روی Administration Server برقرار می‌شود؛ و در صورت غیرفعال بودن، ارتباط به صورت مستقیم انجام می‌گیرد.
- یک فرمان جدید در محیط command line اضافه شده است که امکان مشاهده لیستی از قابلیت‌های نرم‌افزار، وضعیت فعال یا غیرفعال بودن هر کدام و فناوری‌های مورد استفاده در نسخه لینوکس را فراهم می‌کند. این قابلیت به مدیران کمک می‌کند تا دید دقیق‌تری از وضعیت و پیکربندی مؤلفه‌ها در محیط‌های لینوکسی داشته باشند.
- قابلیت نمایش اطلاعات مربوط به policy و policy profile فعال روی دستگاه، هم از طریق command line و هم از طریق رابط گرافیکی (GUI) فراهم شده است.
- اکنون امکان نصب نرم‌افزار از طریق command line حتی روی دستگاه‌هایی که فاقد Perl interpreter هستند نیز فراهم شده است.
- قابلیت رهگیری ترافیک بهبود یافته است؛ به طوری که اکنون ترافیک محلی (Local traffic) بین فرآیندهای یک دستگاه دیگر رهگیری نمی‌شود، که این موضوع به کاهش بار سیستم و افزایش دقت در تحلیل ترافیک کمک می‌کند.
- در فرایند ادغام با Kaspersky Managed Detection and Response، اکنون ارسال تنظیمات telemetry بدون نیاز به فایل پیکربندی KPSN انجام می‌شود، به شرطی که از زیرساخت Kaspersky Security Network استفاده شود یا تنها root tenant فعال باشد.
- ذخیره‌سازی رویدادها در event log نرم‌افزار بهینه سازی شده است؛ به طوری که سرعت باز و بسته کردن و همچنین بازیابی اطلاعات از پایگاه داده رویدادها به طور قابل توجهی افزایش یافته است.
- رابط گرافیکی (GUI) نرم‌افزار بهبود یافته است (در حالت Light Agent پشتیبانی نمی‌شود) :
- امکان فعال یا غیرفعال کردن مؤلفه‌ی Web Control.
- تغییر نام عملکردها در تنظیمات File Threat Protection و وظایف اسکن انجام شده است تا وضوح و درک بهتری از قابلیت‌ها فراهم شود.
- در نسخه جدید نرم‌افزار، بخش Behavior Detection روی سیستم‌عامل‌های ۶۴ بیتی با کرنل 5.3 و بالاتر، از فناوری eBPF برای جمع‌آوری داده‌های telemetry استفاده می‌کند. این روش جدید باعث کاهش بار و فشار روی زیرسیستم audit.d می‌شود و به طور خودکار فعال می‌گردد، حتی زمانی که نرم‌افزار در حالت Light Agent اجرا می‌شود، به شرطی که سیستم‌عامل قابلیت پشتیبانی از eBPF را داشته باشد.
منبع: support.kaspersky.com
