Преглед и оценка на защитата на крайните точки от Webroot secureanywhere

Webroot SecureAnywhere Business Endpoint Protection (която започва от $ 150 на година за пет крайни точки) е една от малкото независими и управлявани облачни услуги за защита на крайните точки. Компанията Webroot предоставя цялостно уеб-базирано решение за ИТ специалисти, които трябва да защитят персонални компютри и сървъри на Microsoft Windows, както и компютри, използващи Apple OS X. Софтуерът предоставя и компонент на мобилно устройство, предлагащ функции като антивирусен, локализиране на устройства, устройство изтриване и сигурно сърфиране, въпреки че тези функции са насочени най-вече към платформата Android поради ограниченията, които Apple изгражда в iOS. Можете сами да прецените защитата на Webroot SecureAnywhere Business Endpoint чрез 30-дневната пробна версия, достъпна на техния уебсайт. Като цяло този продукт ми хареса много, но неспособността му да открива атаки, базирани на скриптове, го държи доста зад текущия победител в избора на редактор Bitdefender GravityZone Elite.

Потребителски интерфейс

Едно нещо, което ми хареса в Webroot SecureAnywhere Business Endpoint Protection е, че е удивително проста за настройка. Клиентско приложение може да бъде разгърнато и инсталирано с минимален шум след изтегляне от уеб конзолата. Единствената подкана е ключът за активиране, който съответства на клиента до онлайн акаунта. В този момент Webroot SecureAnywhere Business Endpoint Protection ще сканира вашата система за съществуващи заплахи и след това ще се активира. От страна на клиента, Webroot SecureAnywhere Business Endpoint Protection осигурява мъничък, рационализиран потребителски интерфейс (UI), който ви позволява да изпълнявате няколко ключови задачи като сканиране, ръчно блокиране и проверка на журнала.

Уеб конзолата е ясен потребителски интерфейс с раздели, който не страда от твърде голяма простота, за разлика от Avast for Business Premium Endpoint Security. Приятно докосване за ИТ консултантите е, че Webroot SecureAnywhere Business Endpoint Protection може да управлява множество организации от една конзола. Можете да разгледате подробности във всеки, за да намерите конкретен модул за защита на крайната точка. Оттам е възможно да управлявате политики, групи устройства, да стартирате отчети и да променяте глобални настройки, които могат да се прилагат към всички устройства.

Администраторите имат широк и дълбок обхват, когато става въпрос за контролиране на устройства, регистрирани на конзолата за управление. Пълна гама от системни действия, като рестартиране на системата, възстановяване на файл, настройване на сканирания и работа с инструменти на командния ред, са само на едно кликване. Някои от функциите обаче са малко по-сложни, отколкото бих искал. Например, възстановяването на файл изисква познаване на неговия хеш алгоритъм 5 за преобразуване на съобщения (MD5). Въпреки че това може да бъде проследено чрез лог файловете, изглежда ненужно. Разбира се, това е ефективно само ако системата разпознае, че даден процес прави потенциално злонамерени неща.

Резултати от тестовете

Webroot SecureAnywhere Business Endpoint Protection незабавно се намеси по бърз и очевиден начин в клиентската система, когато започнах да извличам моята извадка от 111 варианта на зловреден софтуер на работния плот. Той изведе диалогов прозорец, който показваше карантинните елементи и предлагаше да ги почистите. По същия начин, уебсайтове с известен злонамерен софтуер бяха незабавно блокирани. Моята персонализирана симулационна издръжка обаче не беше блокирана веднага и успях да приложа шифър към папка с чувствителни данни. За щастие, Webroot SecureAnywhere Business Endpoint Protection направи мониторинг на промените и след като ръчно блокирах приложението, промените бързо се обърнаха.

За да тествам защитата срещу вредни уебсайтове, използвах произволен подбор от 10 новоотчетени уебсайта от PhishTank, отворена общност, която съобщава за известни и подозирани фишинг уебсайтове. Всички опити да използвам унифицираните локатори на ресурси (URL адреси) доведоха до съобщението „Вреден уебсайт блокиран“ в браузъра.

Сблъсквайки се с два базирани на браузъра експлоатации, Webroot SecureAnywhere Business Endpoint Protection се справя изключително добре. Първият тест използва недостатък в Java 1.7 и по-долу от това позволява на нападателя да стартира програми дистанционно, ако се кликне върху определен URL адрес. Webroot SecureAnywhere Business Endpoint Protection бързо изключва процеса и съобщава за заплаха на таблото за управление. По същия начин, експлоатацията, базирана на Flash, която позволява отдалечено изпълнение на код, също беше блокирана и елиминирана. Освен това Webroot SecureAnywhere Business Endpoint Protection успешно откри и премахна няколко PDF файла, заразени с полезен товар Metasploit, който би позволил постоянна връзка с машината.

Обаче странно не откри файл на Microsoft Word, вграден с подобен подвиг. След разгръщане на атака в фишинг стил, при която потребителят отвори заразен имейл, Webroot SecureAnywhere Business Endpoint Protection не откри компромиса. От този момент бих могъл да ескалирам привилегиите си до административен статус и да участвам в няколко дейности, които бързо биха предизвикали отговор от повечето ни конкуренти и дори Windows Defender. За да: Мога да извлека списък на всички хеширани пароли, да изчистя регистрационните файлове на събития, да добавя елементи в системния регистър на Windows, да качвам и изтеглям файлове, криптирам файлове и да променя файла на хоста на Windows, който корелира URL адресите, където те разрешават, и да инсталирам keylogger.

Интересно е обаче, че имах инсталиран keylogger, когато разглеждах HTTPS трафик; Webroot SecureAnywhere Business Endpoint Protection успешно блокира изхода. Натисканията на клавиши се появиха като празни или показваха само символи за нов ред. Въпреки че все още бях неспокоен, че мога да стигна толкова далеч, Webroot SecureAnywhere Business Endpoint Protection поне опитваше да блокира опитите за измама.

Най-добрият тест обаче се опитваше да изключи Webroot SecureAnywhere Business Endpoint Protection без намеса на потребителя. Тъй като потребителят на тестовата среда е част от групата на локалния администратор, бих могъл да ескалирам привилегиите си до системно ниво. Защитата на Business Endpoint от Webroot SecureAnywhere прави почти невъзможно да се убие активният процес. Просто продължава да се рестартира като безкрайна орда от зомбита за защита на системата. В крайна сметка все пак успях да победя тази защита, като просто преминах деинсталиращ превключвател към приложението Webroot SecureAnywhere Business Endpoint Protection. Тя безшумно изчезна и ми даде пълен контрол. За да предотвратите това да се случи, можете да зададете парола за деинсталиране, но тя не се конфигурира по подразбиране.

Резултатите от независимите лаборатории са трудни за защита на Webroot SecureAnywhere Business Endpoint. MRG Effitas обаче присъди наградата MRG Effitas Online Banking / Browser Security на Webroot SecureAnywhere Business Endpoint Protection през 2016 г., което не е лесен подвиг. От гледна точка на тестване, мисля, че това е солиден продукт. Въпреки това, компанията ще трябва да работи върху своите мерки за предотвратяване на скриптове за експлоатация, за да бъде в крак с останалата част от областта, особено с водещи продукти като редактора на Choice Bitdefender GravityZone Elite и F-Secure Protection Service за бизнеса.

Атака Отговор

Webroot SecureAnywhere Business Endpoint Protection задейства сигнали, които настроих в рамките на няколко кратки минути след заразяване, и на таблото за управление се появи лесен за наблюдение червен индикатор. Клиентската машина обаче беше сравнително тиха, когато дойде да сигнализира на своя потребител. Иконата на задачата се промени, за да има възклицание за момент, но цялото действие се случи на таблото за управление. Това поставя по-голямата част от реакцията на ИТ администратора на вашата компания, за разлика от крайния потребител. Тъй като ИТ хората често обикалят, а не просто се вглеждат в таблото за управление, това означава забавен отговор и със сигурност изисква внимание да се обърне внимание на конфигурирането на имейл и други известия, които могат да достигнат до ИТ специалистите, когато не са на бюрата си. Има аргументи за и против тази философия, но тя работи както е проектирано.

За случаите, в които Webroot SecureAnywhere Business Endpoint Protection пропуска инфекция, съществуват защити, за да се предотврати изхвърлянето на данни от кейлоггерите в мрежата, но това е несъвършено решение. Тъй като не блокира зловредния софтуер да събира пароли за локална мрежа, все още има възможност за въртене, тъй като потребителите, като цяло, използват една и съща парола на множество места. В сценариите, за които е проектиран обаче, той работи достатъчно добре.

Webroot SecureAnywhere Business Endpoint Protection не е лош продукт за защита на крайната точка по никакъв начин, но не успява да се справи с някои от по-новите методи за атака. Основният му начин на действие е предотвратяване на инфекции от родните, а не скриптираните атаки. В защитата на Webroot SecureAnywhere за защита на бизнес крайните точки, това ще обхване повечето от атаките там. В ерата след Equifax обаче е достатъчно да искате да изчакате актуализация, която да адресира тези дупки. Освен това той се пронизваше под натиска на директна атака, когато файл беше прибран в нищо неподозираща система на служителя. Тъй като човечеството винаги е най-слабата връзка, това често е неизбежност. Въпреки това, с няколко незначителни кръпки, Webroot SecureAnywhere Business Endpoint Protection може да бъде отличен съюзник в защитата на вашата мрежа.