La funzionalità Blocker di AutoElevate offre la possibilità di bloccare oltre 200 applicazioni native di Windows, file binari e file .dll, tipicamente utilizzati come vettori di attacco Living Off the Land (LOTL). I termini malware fileless, malware-free o Living Off The Land si riferiscono a tecniche di attacco informatico. dove il criminale informatico utilizza strumenti nativi e legittimi all'interno del sistema della vittima per sostenere e portare avanti un attacco .

Questa funzionalità è progettata e supportata per le workstation Windows a 64 bit, incluse le versioni 10 e 11. Per rendere disponibile questa funzionalità, gli agenti devono disporre della versione 2.8 o successiva.

Avvio rapido

• Dalla schermata Computer seleziona i computer che desideri abilitare cliccando sul quadrato accanto al nome del computer elencato.
  
• Fare clic sul menu Azioni nella parte superiore dello schermo, quindi su Imposta su Audit nella sezione Modalità blocco .
  
• Una volta abilitata, consigliamo di mantenerla in modalità Audit per circa 1 mese o più per consentire all'agente di raccogliere e analizzare i dati e fornire regole consigliate.
  
• Le regole di blocco consigliate in tempo reale sono disponibili nella schermata "Raccomandazioni sui blocchi" del portale. È possibile selezionare "VISUALIZZA APPLICAZIONI" per maggiori informazioni e "AGGIUNGI REGOLE DI BLOCCO" per aggiungere automaticamente le regole consigliate.
  
• Una volta trascorso un tempo sufficiente e dopo aver creato le regole di blocco desiderate, tornare alla schermata Computer , selezionare il/i computer, fare clic sul menu Azioni e quindi su Imposta su attivo nella sezione Modalità blocco .
  

Modalità di blocco definite

• Disabilitato - Il driver del filtro dell'agente non è installato o è disinstallato se precedentemente installato. Di conseguenza, in questo stato, nessun processo Windows viene monitorato e nessuna regola di blocco esistente viene applicata. Poiché il blocco è disabilitato, l'esperienza utente non subisce modifiche.
  
• Audit - Il driver del filtro dell'agente è installato. I processi Windows per i file binari utilizzati negli attacchi LOTL vengono monitorati e il loro utilizzo viene analizzato per generare raccomandazioni di blocco. L'agente AE non applica alcuna regola di blocco definita e, pertanto, non vi è alcuna modifica nell'esperienza utente.
  
• Live - Il driver del filtro dell'agente è installato. I processi Windows per i file binari utilizzati negli attacchi LOTL vengono monitorati e il loro utilizzo viene analizzato per generare raccomandazioni di blocco. L'agente AE blocca o consente i processi Windows in base a qualsiasi regola di blocco definita.

Creazione manuale di regole di blocco

• Selezionare l'icona "+" nella schermata Regole di blocco nella parte superiore della pagina.
  
• Seleziona la casella di controllo accanto al Nome del processo per cui desideri aggiungere una regola. Per ulteriori informazioni, puoi cliccare sul link sorgente accanto al Nome del processo, che contiene il suggerimento sul perché dovresti bloccare quel processo.
  
• Dal menu Azioni in alto, seleziona Aggiungi regola , scegli Livello , Posizione e Computer in base alle tue esigenze, quindi OK per confermare.

Creazione di regole di autorizzazione

• Dalla schermata Eventi bloccanti , seleziona l'evento che vuoi convertire in una regola consentita spuntando la casella accanto al suo nome.
  
• Fare clic sul menu Azioni nella parte superiore dello schermo e selezionare Converti in regola .

Utilizzo di combinazioni di criteri di identificazione del processo e del processo padre

È possibile impostare regole di autorizzazione in modo che corrispondano a tutte le combinazioni desiderate di criteri di identificazione del file e/o del certificato dell'editore, selezionando le caselle di controllo accanto agli elementi dell'evento a cui si desidera che la regola faccia riferimento. Se viene rilevata una corrispondenza al verificarsi di un evento, l'agente AutoElevate esegue l'azione definita di autorizzazione . Affinché la regola venga applicata a un evento, deve corrispondere a TUTTI i criteri di identificazione selezionati .

Criteri di identificazione del processo

I criteri di identificazione del processo possono essere selezionati in qualsiasi combinazione di 4 opzioni: Nome file, Percorso file, Nome file padre, Hash MD5/SHA256 . I valori predefiniti di questi criteri sono impostati su quanto è stato letto dal file effettivo del computer locale in cui si è verificato l'evento originale. I caratteri jolly possono specificare elementi dinamici (* ? [az]).

• Nome file: il nome del file estratto dal percorso.
  
• Percorso file: il percorso completo del file sul computer locale, incluso il nome. L'agente espanderà tutte le variabili d'ambiente di Windows durante l'elaborazione del percorso file. Clicca QUI per ulteriori informazioni sulle variabili d'ambiente di Windows.
  • Attualmente, l'agente non può elaborare variabili di ambiente che includono informazioni utente locali (ad esempio, %LOCALAPPDATA%). Questo problema verrà risolto in un futuro aggiornamento.
    
• Nome file padre: il nome del file padre estratto dal percorso.
  
• Hash MD5/SHA256: hash MD5/SHA256 del file padre.
  

Criteri di identificazione dell'editore

I criteri di identificazione dell'editore possono essere impostati su 1 delle 2 opzioni: Elementi oggetto o Hash certificato .

• Elementi del soggetto: si tratta delle diverse parti del nome distinto del soggetto presenti nel certificato dell'editore. È possibile selezionare qualsiasi combinazione di elementi. Tuttavia, è importante notare che ogni editore di software può utilizzare più certificati. Un numero inferiore di elementi del soggetto consentirà di individuare una gamma più ampia di software che corrispondono ai criteri di identificazione selezionati.
  
• Hash del certificato: si tratta dell'impronta digitale del certificato utilizzato per firmare il file. È molto specifico solo per quel certificato. In genere, i certificati degli editori scadono dopo uno o due anni. Ciò significa che gli editori devono ottenere nuovi certificati con nuove impronte digitali frequentemente. Definire l'hash del certificato potrebbe comportare la creazione di nuove regole per tenere conto di questi nuovi certificati al momento dell'emissione.
  

Le regole definite vengono crittografate e memorizzate in un'area di registro protetta a ogni check-in e continueranno a funzionare con o senza connettività a Internet e/o ai nostri servizi.