Réteges végpontvédelem

1. Amit találtam

Négyszáz munkaállomás egy egészségügyi központban, egy hagyományos vírusirtóval és helyi rendszergazdai jogokkal szinte mindenkinek. A laptopok titkosítatlanul utaztak, a naplók gépenként, elszórtan álltak.

• nem volt riasztás, csak utólagos nyomozás
• a betegadatokat őrző gépek ugyanúgy néztek ki, mint a többi

2. Amit építettem vagy megváltoztattam

Rétegek, amelyek egymást fedik: EDR minden végponton, teljes lemeztitkosítás, a helyi rendszergazdai jogok visszavonása, és egy központi naplóelemző, amely összeköti a jeleket.

• szakaszos bevezetés, osztályonként
• izolálási eljárás, amelyet éjszaka is végre lehet hajtani
• havi jelentés a vezetésnek, közérthetően

3. A számok

400 végpont hat hét alatt, a betegellátás megzavarása nélkül. Minden hordozható gép titkosítva. Egy gyanús gép a riasztástól számítva 15 percen belül elszigetelhető.

4. Az eszközök — és miért ezek

A CrowdStrike a viselkedésalapú észlelés és a távoli izolálás miatt, a BitLocker és az Intune azért, mert a Windows-környezetbe illeszkednek. A Wazuh adja a központi naplót licencdíj nélkül, és a megfelelőségi auditokhoz is ebből dolgozunk.

5. Mit jelentett ez a cégnek

Egy incidens ma riasztással kezdődik, nem egy felhasználó panaszával. Az elveszett laptop kellemetlenség, nem adatvédelmi incidens, és az auditokon a technikai kérdésekre kész válasz van.