Скачать или смотреть SAINTCON 2025 — Джонатан Джонсон — Нет агента, нет проблем

Нет агента — нет проблемы: обнаружение удалённого EDR

Решения для обнаружения и реагирования на конечные точки (EDR) стали краеугольным камнем современной киберзащиты, но у них есть фундаментальный архитектурный недостаток: они должны работать локально на системах, которые они призваны защищать. Это создаёт уязвимость, позволяющую изощрённому вредоносному ПО манипулировать этими критически важными инструментами безопасности, отключать их или отключать. Но что, если злоумышленники не видят работающего EDR? Как они узнают, что его нужно отключить?

В этой презентации представлен сдвиг парадигмы в мониторинге конечных точек — достижение видимости на уровне EDR без развертывания локальных агентов. В докладе будет представлено оригинальное исследование по созданию «удалённого EDR», заполняющего пробел в традиционных архитектурах безопасности. Этот подход использует новую технологию удалённого сбора телеметрии, сохраняя при этом проверенные механизмы, такие как трассировка событий Windows для Windows (ETW), собирая обширные данные из-за пределов непосредственного контроля целевой системы и обеспечивая защитникам беспрецедентную скрытность и устойчивость. Мы рассмотрим как защитные преимущества этой техники, так и то, как специалисты по наступлению могут использовать её для расширенной разведки, включая доступ к реестру, запросы WMI, извлечение файлов и многое другое.

Эта техника показывает, что эффективный мониторинг конечных точек не всегда требует локальных агентов, что создаёт новые возможности как для «красных», так и для «синих» команд.