سطح دیگری از توانمندی EDRو XDR:اندازه‌گیری صحت نرم‌افزار با Attestation مبتنی برTPM
در عصر تهدیدات پیچیده سایبری، سازمان‌ها نیازمند راهکاری فراتر از آنتی‌ویروس‌های سنتی هستند؛ جایی که فناوری‌هایی مانند EDR (Endpoint Detection and Response) و XDR (Extended Detection and Response) همراه با TPM وارد میدان می‌شوند. یکی از ابزارهای کلیدی این راهکارها، مکانیسم Remote Attestation است.
بحث Attestation یا تأیید صحت، فرآیندی است که طی آن وضعیت نرم‌افزاری و سیستمی یک دستگاه به یک سامانه مرکزی گزارش می‌شود. ابزار TPM، که یک ماژول امنیتی سخت‌افزاری است، نقش حیاتی در این فرآیند ایفا می‌کند. هر زمانی که سیستم راه‌اندازی می‌شود، TPM مقادیر هش مربوط به بخش‌های حساس سیستم مانند Boot Loader، Kernel، درایورها و حتی برنامه‌های حیاتی را در رجیسترهای اختصاصی خودش (PCR: Platform Configuration Register) ثبت می‌کند.
راه‌حل‌های مدرن EDR/XDR می‌توانند با درخواست همین مقادیر ثبت‌شده از TPM، وضعیت سلامت واقعی سیستم را به صورت امن و غیرقابل جعل، برای سرور مرکزی ارسال کنند. این سرور مرکزی با مقادیر مورد انتظار مقایسه انجام می‌دهد و اگر هر تغییری نسبت به وضعیت سالم مشاهده شود (مثلاً تزریق Rootkit، تغییر فایل سیستمی توسط تروجان یا دستکاری Bootloader)، بلافاصله هشدار به تیم امنیتی یا حتی اقدامات قرنطینه انجام می‌دهد.
بنابراین، TPM از جعل، دور زدن نرم‌افزار امنیتی، و پنهان شدن بدافزار در عمق سیستم جلوگیری می‌کند. Attestation مبتنی بر TPM گام بزرگی است به سمت مقابله با تهدیدات سطح پایین و مخفی و به مدیران امنیت سازمان اطمینان خاطر بیشتری از صحت واقعی و لحظه‌ای وضعیت endpointها و سرورها می‌بخشد.
#آکادمی_روزبه
مرکز تخصصی CISSP
Www.Roozbeh.academy
در عصر تهدیدات پیچیده سایبری، سازمان‌ها نیازمند راهکاری فراتر از آنتی‌ویروس‌های سنتی هستند؛ جایی که فناوری‌هایی مانند EDR (Endpoint Detection and Response) و XDR (Extended Detection and Response) همراه با TPM وارد میدان می‌شوند. یکی از ابزارهای کلیدی این راهکارها، مکانیسم Remote Attestation است.
بحث Attestation یا تأیید صحت، فرآیندی است که طی آن وضعیت نرم‌افزاری و سیستمی یک دستگاه به یک سامانه مرکزی گزارش می‌شود. ابزار TPM، که یک ماژول امنیتی سخت‌افزاری است، نقش حیاتی در این فرآیند ایفا می‌کند. هر زمانی که سیستم راه‌اندازی می‌شود، TPM مقادیر هش مربوط به بخش‌های حساس سیستم مانند Boot Loader، Kernel، درایورها و حتی برنامه‌های حیاتی را در رجیسترهای اختصاصی خودش (PCR: Platform Configuration Register) ثبت می‌کند.
راه‌حل‌های مدرن EDR/XDR می‌توانند با درخواست همین مقادیر ثبت‌شده از TPM، وضعیت سلامت واقعی سیستم را به صورت امن و غیرقابل جعل، برای سرور مرکزی ارسال کنند. این سرور مرکزی با مقادیر مورد انتظار مقایسه انجام می‌دهد و اگر هر تغییری نسبت به وضعیت سالم مشاهده شود (مثلاً تزریق Rootkit، تغییر فایل سیستمی توسط تروجان یا دستکاری Bootloader)، بلافاصله هشدار به تیم امنیتی یا حتی اقدامات قرنطینه انجام می‌دهد.
بنابراین، TPM از جعل، دور زدن نرم‌افزار امنیتی، و پنهان شدن بدافزار در عمق سیستم جلوگیری می‌کند. Attestation مبتنی بر TPM گام بزرگی است به سمت مقابله با تهدیدات سطح پایین و مخفی و به مدیران امنیت سازمان اطمینان خاطر بیشتری از صحت واقعی و لحظه‌ای وضعیت endpointها و سرورها می‌بخشد.
#آکادمی_روزبه
مرکز تخصصی CISSP
Www.Roozbeh.academy
Comments
Be the first to add a comment
Log in to comment