Luồng xử lý
- Quan sátThay đổi tệp, quét theo yêu cầu hoặc phiên ETW.
- Đánh giáSHA-256, chỉ báo đe dọa, Defender và AMSI theo chức năng.
- Phản hồiNhật ký, cảnh báo hoặc cách ly theo thiết lập.
- Xác minhĐối chiếu bằng chứng, kiểm tra báo cáo và phục hồi khi phù hợp.
Bổ sung gì cho bảo vệ có sẵn của Windows?
Microsoft Defender đã có quét và bảo vệ thời gian thực. KK-SECURE dùng khả năng sẵn có đó, đồng thời cho phép khoanh vùng thư mục cần theo dõi và lưu bằng chứng để xem lại một sự cố.
Giao diện 1.6.0 tách trạng thái, quét, cập nhật, bảo vệ, công cụ và trợ giúp. Tổng quan đọc tín hiệu tiến trình nền và hiển thị trạng thái cần kiểm tra khi chưa nhận được phản hồi.
Với máy cần điều tra, Pro cho kỹ thuật viên xem tệp PE và ZIP mà không cần chạy tệp; Enterprise bổ sung minidump, xuất CEF và thử chính sách ứng dụng ở chế độ Audit. Điểm khác biệt nằm ở quy trình điều tra, không phải tuyên bố tỷ lệ phát hiện cao hơn Defender.
Luồng phát hiện và phản hồi
Bảo vệ nền chạy theo người dùng Windows. Khi được bật, Task Scheduler khởi chạy tiến trình lúc đăng nhập. ReadDirectoryChangesW ghi nhận thay đổi trong các thư mục được chọn; hàng đợi gộp sự kiện trước khi đọc và đánh giá tệp. Defender dùng khả năng của Windows trên máy, còn AMSI chuyển nội dung hỗ trợ cho nhà cung cấp chống mã độc đang đăng ký.
Kho cách ly lưu dữ liệu được bảo vệ bằng DPAPI theo hồ sơ Windows, đối chiếu SHA-256 và hỗ trợ phục hồi có kiểm soát. Cảnh báo ransomware dựa trên cụm thay đổi tệp bất thường. Tín hiệu hành vi cần được đối chiếu với bối cảnh vì đồng bộ tệp và sao lưu cũng có thể tạo ra nhiều thay đổi trong thời gian ngắn.
Điều tra và phạm vi đặc quyền
Pro và Enterprise bổ sung phân tích tĩnh PE/ZIP và ghi ETW cấp kernel theo yêu cầu để điều tra tiến trình, luồng và nạp ảnh. ETW là nguồn quan sát. Enterprise thêm tương quan nhật ký và xuất CEF, thu minidump của một tiến trình được chọn, cùng thao tác dừng tiến trình có xác nhận.
Enterprise triển khai App Control ở chế độ WDAC Audit khi hệ điều hành và quyền cho phép. Audit ghi sự kiện để đánh giá quy tắc; chính sách này không tự động chuyển sang chặn. Bộ giám sát tệp hiện chạy ở chế độ người dùng, phản ứng sau sự kiện và không có driver minifilter riêng.
Giấy phép và cập nhật
Phần mềm kiểm tra chữ ký và hồ sơ cài đặt của giấy phép. Kênh cập nhật kiểm tra chữ ký, SHA-256 và phiên bản trước khi lưu gói ứng dụng. Defender lấy chữ ký từ Microsoft; CISA KEV là danh mục lỗ hổng đã bị khai thác, không phải cơ sở chữ ký virus. Đồng bộ IOC thương mại qua máy chủ là kênh riêng, hiện chưa có dữ liệu nguồn thương mại đã xác minh.
Các phiên bản
| Phiên bản | Năng lực chính | Điều kiện vận hành |
|---|---|---|
| Standard 1.6.0 | Quét tệp, tích hợp Defender, bảo vệ nền, cách ly và cảnh báo. | Chọn phạm vi giám sát; chức năng Defender phụ thuộc trạng thái Windows. |
| Pro 1.6.0 | Thêm phân tích tĩnh PE/ZIP, lịch quét và ETW/tra cứu tiến trình. | ETW cấp kernel cần quyền và phiên bản Windows phù hợp. |
| Enterprise 1.6.0 | Thêm tương quan sự kiện, CEF, minidump và WDAC Audit. | Thử WDAC Audit trên máy thí điểm trước khi triển khai diện rộng. |
Phương pháp kiểm thử
- Phát hiện an toàn
Dùng EICAR trong máy ảo, kết hợp tệp sạch để kiểm tra cảnh báo, cách ly và phục hồi.
- Giám sát nền
Đo thời gian từ thay đổi đến sự kiện, độ sâu hàng đợi, CPU và RAM khi xử lý khối lượng tệp tăng dần.
- ETW và WDAC
Ghi phiên bản Windows, số sự kiện hoặc bộ đệm bị mất, kết quả biên dịch và sự kiện Audit. Không suy diễn khả năng chặn từ nhật ký Audit.
Bằng chứng và giới hạn
Mã phát hành có bộ kiểm thử quét, cách ly, giám sát, cập nhật và cấp phép. Hồ sơ 1.5.3 ghi nhận ETW có quyền Administrator và biên dịch xem trước WDAC Audit; áp dụng và gỡ WDAC trên máy thí điểm vẫn cần được xác nhận. Chưa công bố tỷ lệ phát hiện hay số liệu so sánh với sản phẩm khác.