Patching degli Endpoint e Avvisi EDR

Cos’è Patching degli Endpoint e Avvisi EDR?

Un avviso EDR appare sul tuo schermo a meta mattina. Qualcosa riguardo a una 'esecuzione di processo sospetta'. E un falso positivo o l'inizio di un incidente reale? La maggior parte dei dipendenti si blocca quando vede queste notifiche perche nessuno gli ha insegnato cosa significano realmente gli avvisi. Questo esercizio ti mette di fronte a una dashboard EDR dal vivo. Vedrai i tipi specifici di avvisi che gli strumenti di sicurezza generano: anomalie di processo, modifiche non autorizzate al registro, connessioni di rete insolite e modifiche sospette ai file. Per ogni avviso, decidi se ignorarlo, investigare ulteriormente o inoltrarlo immediatamente. La simulazione copre anche perche il patching degli endpoint e importante dalla tua prospettiva, non solo da quella del team IT. Quando la tua macchina salta una patch, crea una lacuna che gli attaccanti cercano attivamente. Il Ponemon Institute ha rilevato che il 57% delle vittime di violazione dei dati stava eseguendo software con vulnerabilita note al momento della compromissione. Verificherai il tuo stato di aggiornamento, riconoscerai quando una notifica di aggiornamento e urgente e comprenderai la differenza tra un aggiornamento di routine e una correzione di sicurezza di emergenza. L'esercizio mostra cosa succede quando ignori un avviso EDR che si rivela reale. Copre anche lo scenario piu comune: come segnalare un avviso genuino senza causare panico inutile.

Cosa imparerai in Patching degli Endpoint e Avvisi EDR

• Identificare i tipi comuni di avvisi EDR tra cui anomalie di processo, modifiche non autorizzate al registro e connessioni di rete sospette
• Classificare gli avvisi di sicurezza degli endpoint per livello di gravita e determinare la risposta corretta per ogni categoria
• Verificare lo stato attuale delle patch del tuo dispositivo e riconoscere la differenza tra aggiornamenti di routine e patch di sicurezza di emergenza
• Inoltrare gli avvisi EDR genuini attraverso i canali appropriati con informazioni accurate su quanto osservato
• Comprendere perche il patching degli endpoint riduce la superficie di attacco della tua organizzazione, con riferimento alla scoperta del Ponemon Institute secondo cui il 57% delle vittime di violazione eseguiva software con vulnerabilita note

Patching degli Endpoint e Avvisi EDR — Fasi della formazione

1. Introduzione

   Oggi imparerai come i sistemi Endpoint Detection and Response (EDR) monitorano la tua workstation alla ricerca di minacce e cosa fare quando rilevano qualcosa di sospetto.

2. Un giovedì di routine

   È giovedì pomeriggio. Alice sta terminando un rapporto di analisi trimestrale quando una notifica insolita attira la sua attenzione nella barra delle applicazioni. Una piccola icona a forma di scudo lampeggia in giallo: l'agente EDR dell'azienda sta cercando di attirare la sua attenzione.

3. L'allarme EDR

   La notifica EDR si espande per mostrare maggiori dettagli: Sentinel Shield EDR - Avviso Gravità: elevata Tipo: Comportamento del processo sospetto Dettagli: un processo ha tentato di accedere ad aree sensibili della memoria. Questo modello di comportamento è associato agli strumenti di raccolta delle credenziali. Stato: parzialmente bloccato: è richiesta un'azione immediata Consigliato: esamina i dettagli dell'avviso, installa l'aggiornamento di sicurezza in sospeso e segnala l'incidente.

4. Accesso al portale EDR

   Facendo clic su 'Visualizza dettagli' si apriva il portale Sentinel Shield EDR nel browser di Alice. Deve accedere per rivedere tutti i dettagli dell'avviso e lo stato di protezione del suo endpoint.

5. Il cruscotto EDR

   La dashboard del portale EDR mostra a colpo d'occhio lo stato della workstation di Alice: Stato endpoint: protetto Ultima scansione: oggi, 14:30 Minaccia rilevata: 1 (oggi) - Parzialmente bloccato Versione agente: 8.2.1 (attuale) Stato patch: 1 aggiornamento In attesa Aggiornamento critico per la sicurezza KB5034441 disponibile In attesa da: 3 giorni fa Alice nota che lo stato dell'avviso è 'Parzialmente bloccato' - non completamente bloccato. L'aggiornamento di sicurezza mancante ha concesso all'aggressore una breve finestra di accesso.

6. Dettagli avviso

   I dettagli dell'avviso rivelano cosa è successo: ID avviso: EDR-2024-847291 Ora di rilevamento: oggi, 14:47 Stato: Parzialmente bloccato Processo: svchost_update.exe (nome sospetto che imita un processo legittimo) Origine: file scaricato: esecuzione della macro 'Q3_Budget_Summary.xlsx' Indicatori comportamentali: Tentativo di accesso alla memoria LSASS (archiviazione delle credenziali) Processo PowerShell nascosto generato Tentativo di connessione di rete a un IP esterno sconosciuto Azione eseguita: Processo terminato dopo un'esecuzione parziale: le credenziali potrebbero essere state esposte Alice sente un brivido. Il processo non è stato semplicemente bloccato: è durato abbastanza a lungo da raccogliere potenzialmente le sue credenziali prima che l'EDR lo uccidesse.

7. Revisione dello stato della patch

   La pagina di stato della patch mostra: Patch del sistema operativo: KB5034441 (Aggiornamento critico della sicurezza) — IN SOSPESO — 3 giorni KB5034123 (Aggiornamento delle funzionalità) — Installato KB5033891 (Aggiornamento della sicurezza) — Installato L'aggiornamento critico in sospeso (KB5034441) corregge la vulnerabilità CVE-2024-38112, che consente l'esecuzione di codice in modalità remota tramite macro di Office dannose, l'esatto vettore di exploit utilizzato nell'attacco di oggi. Poiché questa patch era in sospeso da 3 giorni, la vulnerabilità era aperta quando l'aggressore ha colpito. EDR ha rilevato il comportamento dannoso, ma la patch mancante è il motivo per cui le credenziali sono state parzialmente esposte. Alice nota che qui non è presente alcun pulsante di installazione: EDR monitora lo stato delle patch, ma le patch vengono installate tramite Impostazioni di Windows .

8. Le conseguenze

   Mentre Alice esamina le informazioni sulla patch, arriva una nuova email. La riga dell'oggetto le fa venire il mal di pancia. La sicurezza IT ha rilevato tentativi di accesso sospetti al suo account da un indirizzo IP non riconosciuto nell'Europa orientale, negli ultimi 15 minuti. L'esposizione delle credenziali derivante dall'avviso EDR non era teorica: qualcuno sta già tentando di utilizzare le sue credenziali compromesse.

9. Verifica della conoscenza

   Prima di agire, assicuriamoci di capire cosa è successo e perché.

10. Installazione della patch

    Seguendo le istruzioni di IT Security, Alice apre le Impostazioni di Windows per installare l'aggiornamento critico di sicurezza rimasto in sospeso per 3 giorni. Ecco come vengono effettivamente installate le patch del sistema operativo: tramite le impostazioni di aggiornamento del sistema operativo, non tramite il portale EDR.