Мы не раз упоминали средство VMware AppDefense, которое позволяет защищать виртуальную инфраструктуру vSphere за счет наблюдения за нормальной сетевой активностью приложений и выявления подозрительных отклонений, вызываемых вредоносным ПО. Напомним, что решение AppDefense входит в состав VMware vSphere Platinum.
На днях компания VMware выпустила обновленный AppDefense 2.3, где появилась масса новых возможностей. Давайте на них посмотрим:
1. Действие Process Kill как ответ на возникшую угрозу.
Ранее в качестве ответной реакции на выявленное отклонение можно было использовать действия выключения ВМ, создание снапшота или приостановка машины (suspend). Теперь же есть возможность завершить любой из подозрительных процессов внутри гостевой ОС:
2. Поведенческие отметки времени (Behavior Timestamps).
В рамках концепции выдачи только необходимых привилегий пользователям или процессам для исполнения своих задач, AppDefense позволяет отслеживать какой сервис как себя вел и, главное, когда в последний раз это происходило (для этого есть поле last seen):
Все это очень помогает при ретроспективном анализе безопасности и аудите происходивших событий.
3. Улучшения классификации алертов и приведение в порядок узких мест на базе серьезности инцидентов.
Теперь алерты очень детально разделяются по степени критичности, а отсюда уже следует следующее улучшение - теперь для критичных событий можно сделать радикальные действия (выключить ВМ), а для небольших отклонений - просто оповестить администратора или отключить сервис.
4. Новые роли для AppDefense SaaS portal.
Теперь можно разделять роли еще более гранулярно и выделять пользователям портала только самые необходимые привилегии. Например, такое можно сделать для сотрудников сектора ИБ, а также команд SecOps.
5. Установка и апгрейд без перезагрузок.
Модуль AppDefense для гостевой ОС поставляется вместе с VMware Tools, что позволяет организовать очень мягкое взаимодействие с гостевой системой, не подразумевающее частых перезагрузок, даже в случае апгрейда решения. Для такого образа действий вам потребуется VMware Tools 11 или более поздняя версия пакета (где как раз встроена функция обновления AddDefense без перезагрузок).
6. Поддержка DNS для разрешенного поведения (Allowed Behaviors).
Теперь не нужно искать, для какой системы какой IP-адрес нужно использовать. Для настройки разрешенного поведения можно использовать человеческие имена сервисов из DNS.
7. Поддержка VMware NSX-T.
Теперь AppDefense может работать в комплексе с решением по агрегации и защите сетей виртуального датацентра NSX-T (в дополнение к NSX-V) для переведения виртуальных машин на карантин. Это позволяет настраивать более гранулярные ответные действия, которые AppDefense предпринимает как реакции на вредоносные действия.
8. Сканирование на уязвимости и приоритизация рисков.
Вот пример представления "AppDefense 2.3 – VM OS Vulnerabilities View", которое позволяет оценить имеющиеся слабые места ОС:
Вот уже представление "AppDefense 2.3 – VM Guest Monitoring View":
AppDefense 2.3 позволяет приоритизировать возможные риски и представить узкие места на дэшбордах, которых весьма немало в продукте.
Скачать VMware AppDefense 2.3 можно по этой ссылке. Полный список новых возможностей и изменений приведен тут.
RSS
