La fonction de blocage d' AutoElevate vous permet de bloquer plus de 200 applications Windows natives, binaires et fichiers .dll, généralement utilisés comme vecteurs d'attaque Living Off The Land (LOTL). Les termes « malware sans fichier », « sans malware » ou « Living Off The Land » désignent des techniques de cyberattaque. lorsque le cybercriminel utilise des outils natifs et légitimes au sein du système de la victime pour soutenir et faire progresser une attaque .

Cette fonctionnalité est conçue et prise en charge pour les postes de travail Windows 64 bits, y compris les versions 10 et 11. Vos agents doivent être sur la version 2.8+ pour que cette fonctionnalité soit disponible.

Démarrage rapide

• Depuis l'écran Ordinateurs , sélectionnez le ou les ordinateurs que vous souhaitez activer en cliquant sur le carré à côté du nom de l'ordinateur répertorié.
  
• Cliquez sur le menu Actions en haut de l’écran, puis sur Définir sur Audit dans la section Mode Bloqueur .
  
• Une fois activé, nous vous recommandons de le conserver en mode Audit pendant environ 1 mois ou plus pour permettre à l'agent de collecter et d'analyser les données et de fournir des règles recommandées.
  
• Les règles de blocage recommandées en temps réel sont disponibles sur l'écran « Recommandations de blocage » du portail. Vous pouvez consulter les applications pour plus d'informations et ajouter des règles de blocage pour ajouter automatiquement les règles recommandées.
  
• Une fois que suffisamment de temps s'est écoulé et que les règles de blocage souhaitées ont été créées, revenez à l'écran Ordinateurs , sélectionnez le(s) ordinateur(s), cliquez sur le menu Actions , puis sur Définir sur Live dans la section Mode Bloqueur .
  

Modes de blocage définis

• Désactivé : le pilote de filtre de l'agent n'est pas installé ou est désinstallé s'il l'était déjà. Par conséquent, aucun processus Windows n'est surveillé dans cet état et aucune règle de blocage existante n'est appliquée. La désactivation du blocage n'entraîne aucune modification de l'expérience utilisateur.
  
• Audit : Le pilote de filtre de l'agent est installé. Les processus Windows des binaires utilisés dans les attaques LOTL sont surveillés et leur utilisation est analysée afin de générer des recommandations de blocage. L'agent AE n'applique aucune règle de blocage définie ; par conséquent, l'expérience utilisateur reste inchangée.
  
• En direct : le pilote de filtre de l'agent est installé. Les processus Windows des binaires utilisés dans les attaques LOTL sont surveillés et leur utilisation est analysée afin de générer des recommandations de blocage. L'agent AE bloque ou autorise les processus Windows en fonction des règles de blocage définies.

Création manuelle de règles de blocage

• Sélectionnez l'icône « + » dans l'écran Règles de blocage en haut de la page.
  
• Cochez la case à côté du nom du processus pour lequel vous souhaitez ajouter une règle. Pour plus d'informations, cliquez sur le lien source à côté du nom du processus contenant la recommandation expliquant pourquoi vous devez bloquer ce processus.
  
• Dans le menu Actions en haut, sélectionnez Ajouter une règle , choisissez Niveau , Emplacement et Ordinateur si nécessaire, puis OK pour confirmer.

Création de règles d'autorisation

• Depuis l'écran Événements du bloqueur , sélectionnez l'événement que vous souhaitez convertir en règle d'autorisation en cochant la case à côté de son nom.
  
• Cliquez sur le menu Actions en haut de l'écran et sélectionnez Convertir en règle .

Utilisation des combinaisons de critères d'identification de processus et de processus parent

Les règles d'autorisation peuvent être configurées pour correspondre à autant de combinaisons de critères d'identification de fichier et/ou de certificat d'éditeur que vous le souhaitez. Pour cela, cochez les cases correspondant aux éléments de l'événement auxquels la règle doit correspondre. Si une correspondance est trouvée lors d'un événement, l'agent AutoElevate exécute l'action définie « Autorisé » . Pour que la règle soit appliquée à un événement, elle doit correspondre à TOUS les critères d'identification sélectionnés .

Critères d'identification du processus

Les critères d'identification de processus peuvent être sélectionnés parmi quatre options : nom de fichier, chemin d'accès, nom de fichier parent et hachages MD5/SHA256 . Les valeurs par défaut de ces critères correspondent aux données lues dans le fichier sur l'ordinateur local où l'événement d'origine s'est produit. Les caractères génériques permettent de spécifier des éléments dynamiques (* ? [az]).

• Nom du fichier : le nom du fichier extrait du chemin.
  
• Chemin d'accès au fichier : chemin d'accès complet du fichier sur la machine locale, y compris son nom. L'agent étend les variables d'environnement Windows lors du traitement du chemin d'accès. Cliquez ICI pour plus d'informations sur les variables d'environnement Windows.
  • Actuellement, l'agent ne peut pas traiter les variables d'environnement contenant des informations utilisateur locales (par exemple, %LOCALAPPDATA%). Ce problème sera corrigé lors d'une prochaine mise à jour.
    
• Nom du fichier parent : le nom du fichier parent extrait du chemin.
  
• Hachages MD5/SHA256 : les hachages MD5/SHA256 du fichier parent.
  

Critères d'identification de l'éditeur

Les critères d'identification de l'éditeur peuvent être définis sur l'une des 2 options suivantes : Éléments du sujet ou Hachage du certificat .

• Éléments de sujet : Il s'agit des différentes parties du nom distinctif du sujet figurant dans le certificat de l'éditeur. Vous pouvez sélectionner n'importe quelle combinaison d'éléments. Cependant, il est important de noter que chaque éditeur de logiciel peut utiliser plusieurs certificats. Cibler moins d'éléments de sujet permettra d'obtenir un plus large éventail de logiciels correspondant aux critères d'identification sélectionnés.
  
• Hachage du certificat : il s'agit de l'empreinte numérique du certificat utilisé pour signer le fichier. Elle est spécifique à ce certificat. En général, les certificats d'éditeur expirent après un an ou deux. Cela signifie que les éditeurs doivent obtenir fréquemment de nouveaux certificats avec de nouvelles empreintes numériques. Cibler le hachage du certificat peut nécessiter la création de nouvelles règles pour prendre en compte ces nouveaux certificats lors de leur émission.
  

Les règles définies sont cryptées et stockées dans une zone de registre sécurisée à chaque enregistrement et continueront de fonctionner avec ou sans connectivité à Internet et/ou à nos services.