Слепая зона EDR: три способа, которыми браузерные атаки обходят телеметрию конечных точек

Современные EDR-системы (Endpoint Detection and Response) традиционно считаются основой защиты конечных точек: они отслеживают процессы, файловые операции, обращения к реестру и сетевым ресурсам. Однако значительная часть атак сегодня переносится в браузер — среду, которая по своей природе работает иначе и не генерирует привычных для EDR артефактов. Именно поэтому браузер становится «слепой зоной», где вредоносная активность может оставаться незамеченной. По данным NordLayer, браузерные атаки могут похищать пользовательские сессии, злоупотреблять легитимными расширениями и манипулировать самим пользователем, не создавая при этом тех признаков компрометации, на обнаружение которых настроены EDR-агенты. Это делает такие атаки особенно опасными: они выглядят как обычная работа в интернете и не вызывают срабатываний на уровне операционной системы.

Подробности

Специалисты NordLayer выделяют три ключевых способа, которыми браузерные атаки обходят телеметрию конечных точек. Первый — кража сессий. Злоумышленники получают доступ к активным сессиям пользователя (например, через перехват cookie или токенов), после чего действуют от его имени, не запуская подозрительных процессов и не оставляя файловых следов на устройстве. Для EDR это выглядит как обычная сетевая активность уже аутентифицированного пользователя. Второй — злоупотребление расширениями. Легитимные на первый взгляд браузерные расширения могут обладать широкими разрешениями: читать содержимое страниц, перехватывать вводимые данные, изменять трафик. Поскольку расширение устанавливается самим пользователем и работает внутри браузера, оно не воспринимается EDR как угроза, хотя фактически может выполнять вредоносные функции. Третий — манипуляция пользователем. Атаки, построенные на социальной инженерии и подмене интерфейса, побуждают человека самостоятельно совершить опасное действие: ввести учётные данные, подтвердить операцию, предоставить доступ. С точки зрения телеметрии это легитимные действия пользователя, и EDR не фиксирует ничего подозрительного. Общая причина всех трёх сценариев — разрыв между уровнем, на котором работает EDR (операционная система), и уровнем, на котором происходит атака (браузер). Классические средства контроля не видят контекст веб-сессии, содержимое вкладок и поведение расширений, поэтому вредоносная активность остаётся вне зоны их наблюдения.

Что делать

Чтобы закрыть этот пробел, NordLayer рекомендует дополнить защиту конечных точек контролем на уровне браузера. Это означает: — ограничение и аудит браузерных расширений: устанавливать только необходимые, проверять их разрешения и регулярно пересматривать список; — управление сессиями: сокращать время жизни сессий, применять повторную аутентификацию для чувствительных операций, использовать MFA; — изоляцию веб-активности: разделять рабочие и личные профили браузера, применять технологии изоляции для доступа к недоверенным ресурсам; — сетевую защиту: использовать VPN и DNS-фильтрацию для блокировки фишинговых и вредоносных доменов; — обучение сотрудников: повышать осведомлённость о социальной инженерии и подмене интерфейсов, поскольку часть атак эксплуатирует именно действия самого пользователя. Комбинация EDR с браузерным контролем и сетевой защитой позволяет покрыть те сценарии, которые остаются невидимыми для телеметрии конечных точек. Итог: браузерные атаки не исчезнут, но их можно сделать заметными, если смотреть не только на операционную систему, но и на уровень, где реально работает пользователь. EDR остаётся важным слоем защиты, однако без браузерного контроля он неизбежно оставляет слепую зону.

Источник: BleepingComputer