Что нового в KES 11.1?

Что нового в KES 11.1

KES 11.1: новые операционные системы

- Windows 10 Redstone 5

- Windows Server 2019

KES 11.1 два новых компонента:

- AMSI Protection Provider

- Adaptive Anomaly Control

KES 11.1 – AMSI провайдер для приложений

Взаимодействие с AMSI позволяет KES увеличить уровень обнаружения вредоносных скриптов, сценариев, выполняющихся в памяти и применяющих различные технологии маскировки. Программа, прежде чем выполнить скрипт, отсылает его AMSI (Windows Antimalware Scan Interface), и ждет вердикта.

AMSI получает скрипты от программ, обрабатывает их и передает на проверку Protection Provider (KES). KES – получает PowerShell, VBScript, Jscript от AMSI, проверяет их и отсылает назад вердикты. Выполнит или нет программа скрипт – зависит от полученного вердикта и настроек программы.

KES 11.1 - Adaptive Anomaly Control

Adaptive Anomaly Control предназначен для детектирования и блокирования нетипичного поведения приложений. Компонент использует набор правил, которые поставляются вместе с базами, и настраивается в политике KES. Нетипичное поведение необязательно вредоносное, поэтому компонент Adaptive Anomaly Control работает в Smart Mode, который включен по умолчанию. В течение нескольких недель компонент отслеживает активность на компьютерах и передает информацию о срабатывании на Сервер администрирования. Администратор должен обработать событие: подтвердить, что это аномальная активность или добавить в исключения, если активность легитимная. На каждом компьютере для каждого правила обучение проходит независимо, то есть где-то обучение завершится раньше, а где-то позже. Тогда Adaptive Anomaly Control перейдет в режим Smart Block. Увидеть для каждого правила это можно в отчете Report on Adaptive Anomaly Control rules state.

Проверка зашифрованного трафика

Проверка зашифрованного трафика основана на подмене сертификатов. KES создает сертификат при установке и помещает его в локальное хранилище. При каждом запуске KES проверяет наличие сертификата в хранилище и, если его там нет, – восстанавливает.

KES Personal Root Certificate: срок действия 10 лет, алгоритм шифрования SHA 256, длина ключа 2048bits.

Если при попытке проверки зашифрованного трафика возникает ошибка, домен автоматически добавляется в исключения и весь его шифрованный трафик пропускается без проверки.

Список исключения хранится на локально на каждом компьютере и не передаются на Сервер администрирования.

Web Control: новая категория

В Web Control появилась новая категория – Cryptocurrencies and mining. Администратор может запретить поход на сайты криптовалют и на сайты майнеров, если вдруг есть сотрудники, которые майнят на рабочем месте.

KES 11.1 появилась поддержка WSL

Главное предназначение подсистемы WSL состоит в том, чтобы эмулировать Linux в пользовательском режиме. В результате можно запускать нативную оболочку bash под операционной системой Windows.

Windows Subsystem for Linux транслирует системные вызовы Linux в системные вызовы Windows, что позволяет развернуть в основном окружении Windows полноценный инструментарий Linux без виртуализации.

Слой совместимости Windows Subsystem for Linux использует файловую систему основной операционной системы, на которую установлен, таким образом все файловые операции, выполняемые в подсистеме Linux, будут перехвачены KES 11.1.

Если вредоносный файл будет скомпилирован или запущен в среде Linux, то KES 11.1 обнаружит это и примет меры.

KES 11.1: защита от MAC Spoofing атак

Предотвращает подмену адресов в ARP таблице, принимая только те ответы, для которых был отправлен запрос. После выполнения ARP-запроса все ответы кроме первого игнорируются.

KES 11.1: поддержка миграции

При обновлении версии KES больше не нужно расшифровывать зашифрованные диски, если он зашифрован Kaspersky Full Disk Encryption.

Это применимо только к KES11. Т.е. если вы обновляете KES11 на KES11.1, все пройдет гладко. Если мигрируете с KES10, то расшифровка все равно понадобится.

Также улучшилась поддержка миграции с Windows 7 / 8 / 8.1 на Windows 10, в случае если в системе уже установлен KES. Раньше перед миграцией нужно было удалить KES, потом обновить OS и снова установить KES. С версией 11.1 такого делать не придется.

ИТОГО KES 11.1:

- появились новые компоненты AMSI Protection Provider и Adaptive Anomaly Control

- реализована проверка HTTPs трафика

- реализована поддержка Windows Subsystem for Linux (WSL)

- реализована защита от MAC Spoofing

- изменена модель доступа по паролю к локальному интерфейсу KES

- реализована поддержка Kaspersky Full Disk Encryption при обновлении версий

- улучшена поддержка миграции с Windows 7/8/8.1 на Windows 10

- появилась новая категория Web Control, связанная с криптовалютами и майнингом