Сокращение поверхности атаки на конечных точках с GravityZone

Sora Yazılım Ekibi19.10.2026Türkçe English Deutsch العربية

Кратко: Сокращение поверхности атаки — это ограничение инструментов, настроек и уязвимостей, которыми злоумышленник может воспользоваться на конечной точке, реальными потребностями бизнеса. Атакующие всё чаще злоупотребляют встроенными средствами вроде PowerShell и WMI (living off the land), поэтому одного обнаружения мало. В GravityZone эту задачу делят Risk Management, Patch Management и PHASR.

Главное

Совместное руководство ведомств пяти стран (февраль 2024 г.) относит базовые профили поведения, белые списки приложений и контроль LOLBins к приоритетным мерам усиления защиты.
GravityZone PHASR строит поведенческий профиль для каждой пары «пользователь — устройство» и после обучения длительностью 30–60 дней работает в режиме Direct Control (рекомендации) или Autopilot (автоматически).
Разумный порядок: инвентаризация → ошибки конфигурации → патчи → ограничение инструментов → измерение. Ограничение инструментов идёт последним, так как сильнее всего влияет на работу.

Что такое сокращение поверхности атаки и почему оно актуально в 2026 году?

Сокращение поверхности атаки (attack surface reduction) — это сужение точек, через которые злоумышленник может ввести данные, вывести их или получить контроль над системой, до действительно необходимых бизнесу. На конечной точке это означает отключение лишних служб, исправление ошибок конфигурации, установку патчей и ограничение запускаемых инструментов под задачи пользователя.

Тема вышла на первый план из-за смены тактики атакующих. В совместном руководстве, которое CISA, NSA и FBI выпустили 7 февраля 2024 г. вместе с центрами кибербезопасности Австралии, Канады, Великобритании и Новой Зеландии, описано использование техник living off the land (LOTL) группировками, поддерживаемыми государствами, и отмечено распространение этой практики.

Bitdefender в сообщении от 23 апреля 2025 г. заявила, что, по её собственным расследованиям, легитимные инструменты и техники LOTL задействованы более чем в 70% крупных инцидентов; это данные самого производителя. Как уровень конечных точек планируется вместе с сетью, телефонией и почтой, описано в нашем руководстве по ИТ-инфраструктуре офиса МСБ.

Почему атаки living off the land сложны для классического антивируса?

При атаке LOTL злоумышленник не приносит новый вредоносный файл, а использует подписанные доверенные инструменты, уже входящие в операционную систему. Совместное руководство подчёркивает, что такая активность почти не оставляет классических индикаторов компрометации (IOC), а во многих организациях нет базового профиля нормального поведения, поэтому её трудно отличить от обычного администрирования.

База знаний MITRE ATT&CK описывает это поведение отдельными техниками. Четыре, которые защитники встречают чаще всего:

T1218 System Binary Proxy Execution: запуск других файлов или команд через подписанные Microsoft двоичные файлы, входящие в Windows.
T1059.001 PowerShell: злоупотребление встроенной в Windows средой сценариев для разведки и выполнения кода.
T1047 Windows Management Instrumentation: выполнение команд через инфраструктуру управления Windows (WMI).
T1197 BITS Jobs: использование фоновой службы передачи файлов Windows для загрузки и закрепления.

Самый практичный вывод руководства: разрешать легитимный административный инструмент всем небезопасно. Красные команды CISA часто находят LOLBins, доступные даже обычным пользователям, и слишком широкие исключения для PsExec. Поэтому обнаружение и усиление защиты дополняют друг друга; об уровне обнаружения — в статье EDR, XDR и MDR.

Какие компоненты GravityZone сокращают поверхность атаки?

Поверхность атаки в GravityZone сокращают три компонента: Risk Management находит ошибки конфигурации и уязвимости, Patch Management закрывает известные уязвимости, а PHASR ограничивает инструменты для каждого пользователя. EDR/XDR поверхность не сокращает, а делает видимыми оставшиеся атаки.

Компонент	Что сокращает	Как работает	Где доступен, по данным производителя
Risk Management	Ошибки конфигурации ОС, приложения с известными CVE, рискованное поведение пользователей	Плановое или разовое сканирование рисков; автоматическое или ручное исправление каждой находки	Endpoint Risk Analytics указан на странице сравнения начиная с пакета Business Security
Patch Management	Известные уязвимости, для которых есть патч	Автоматическая или ручная установка патчей для Windows, macOS, Linux и сторонних приложений	Дополнительный модуль ко всем решениям GravityZone для конечных точек
PHASR	Рискованные инструменты и действия, которые пользователь никогда не применяет	Поведенческий профиль для пары «пользователь — устройство»; ограничение на уровне действий	Дополнительная лицензия к Business Security Enterprise, MDR и решениям Cloud MSP; также отдельный продукт
EDR / XDR	Не сокращает поверхность; выявляет оставшиеся атаки	Корреляция инцидентов между конечными точками, поиск угроз, реагирование	Уровни Business Security Enterprise и XDR

Полные списки функций и выбор пакета под профиль компании — в сравнении пакетов GravityZone; здесь мы смотрим только на поверхность атаки. Подробности о продуктах — на страницах GravityZone Business Security Enterprise, GravityZone XDR и GravityZone Patch Management.

Как работает GravityZone PHASR?

GravityZone PHASR (Proactive Hardening and Attack Surface Reduction — технология Bitdefender для проактивного усиления защиты) строит поведенческий профиль для каждой комбинации «пользователь — устройство» и ограничивает рискованные инструменты или действия, которые этот профиль не использует. Bitdefender представила технологию 23 сентября 2024 г. в рамках программы раннего доступа и сделала её доступной по всему миру 23 апреля 2025 г.

По данным Bitdefender TechZone, PHASR отслеживает в Windows, macOS и Linux пять типов активности: LOLBins, инструменты вмешательства (tampering tools), пиратские инструменты, криптомайнеры и средства удалённого администрирования. Набор включает более 1100 отслеживаемых правил.

Ключевая особенность — блокировка на уровне действий: инструмент не запрещается целиком, блокируется лишь рискованное использование. В примере из документации WMIC разрешён для получения сведений о системе, но заблокирован для горизонтального перемещения; у активного пользователя PowerShell останавливаются только обфусцированные или зашифрованные сценарии.

Обучение длится 30–60 дней в зависимости от отслеживаемых правил; при использовании GravityZone EDR исторические данные могут сократить его до нескольких минут. Затем доступны два режима; матрица ниже показывает, где какой уместен.

Критерий	Direct Control	Autopilot
Кто решает?	Администратор проверяет и утверждает рекомендации	PHASR сам применяет изменения на основе изученного поведения
Наша рекомендация	Профили ИТ и администраторов, критичные приложения, первые месяцы	Обычные пользователи со стабильным поведением; категории без пользы для бизнеса, например криптомайнеры и пиратские инструменты
Видимость на панели	Рекомендации с оценкой эффекта	Для типов активности в Autopilot рекомендации не показываются
Исключения	Разрешение или ограничение на уровне правила	Ручное переопределение с сентября 2026 г. (v6.77): доступ открыт пять дней и снова ограничивается, если инструмент не используется
Запросы пользователей	В Windows пользователь запрашивает доступ через Request Access с обоснованием; в обоих режимах решение принимает администратор

В примечаниях к выпуску за сентябрь 2026 г. появилась функция PHASR for AI Agents: ИИ-агенты на конечной точке получают собственные поведенческие профили, отдельные от пользователя, поэтому разрешение PowerShell для агента не расширяет права человека. Пока функция доступна на конечных точках Windows.

Как пошагово усилить защиту конечных точек?

Цикл из восьми шагов — от инвентаризации до измерения — соответствует и совместному руководству по LOTL, и процессу «выявить, приоритизировать, устранить, отслеживать» в GravityZone Risk Management.

Проведите инвентаризацию и задайте базовый профиль. Зафиксируйте, какое ПО и какие административные инструменты работают на каждом устройстве; первые два контроля CIS Controls v8.1 строятся на такой инвентаризации. Руководство также советует задать базовый профиль обычного использования LOLBins.
Запланируйте сканирование рисков. Risk Management включается плановым сканированием в настройках политики; при необходимости задача Risk Scan запускается для конечных точек, выбранных на странице Network.
Исправьте ошибки конфигурации. На странице Findings для каждой находки доступны автоматическое исправление, ручные шаги, временное игнорирование и откат исправления; раздел CIS compliant показывает находки, сопоставленные с CIS v8.
Установите патчи. Для приложений с CVE в разделе Vulnerabilities опция Patch App через Patch Management обновляет их до исправленной версии.
Запустите PHASR в пилотной группе в режиме Direct Control. Наблюдайте за рекомендациями во время обучения, не применяя ограничений, и оценивайте профили ИТ и администраторов отдельно.
Применяйте рекомендации по эффекту. Начните с самых значимых рекомендаций «Restrict access» и сообщите пользователям о возможности запросить доступ через Request Access.
Сократите набор средств удалённого доступа. Руководство советует блокировать ненужные средства удалённого доступа с оповещением и оставить одно основное и одно резервное решение.
Измеряйте и повторяйте. Отслеживайте риск-оценку компании и показатель уязвимости поверхности атаки в PHASR; категории со стабильным поведением переводите в Autopilot.

Этот цикл — лишь часть комплексной защиты от программ-вымогателей; о резервном копировании, MFA и реагировании на инциденты читайте в нашем плане защиты МСБ от вымогателей из 10 шагов.

Если вы хотите спланировать сканирование рисков, установку патчей и настройку PHASR в своей среде, наша команда поможет. Связаться

Какие находки устранять в первую очередь?

Приоритет определяют четыре критерия вместе: влияние, признаки эксплуатации, число затронутых устройств и риск нарушить работу при исправлении. Показатель Industry Modifier в GravityZone показывает, эксплуатировались ли CVE из вашей среды в других организациях вашей отрасли.

Приоритет	Критерии	Пример находки	Рекомендуемая реакция
1 — немедленно	Высокое влияние, эксплуатация в отрасли, много устройств	Приложение с CVE, эксплуатируемой в вашей отрасли	Patch App или экстренное окно установки патчей
2 — на этой неделе	Высокое влияние, нет признаков эксплуатации, исправление обратимо	Ошибка в локальной или групповой политике	Автоисправление на пилотном устройстве, затем развёртывание
3 — по плану	Среднее влияние, исправление может затронуть работу	LOLBins, открытые обычным пользователям	PHASR Direct Control, ограничение на уровне действий
4 — принять и наблюдать	Низкое влияние или есть компенсирующая мера	Устаревшее бизнес-приложение, которое пока нельзя удалить	Обоснованное игнорирование с датой пересмотра

Для простого ранжирования оцените каждый критерий от 1 до 3: оценка приоритета = влияние × признаки эксплуатации × распространённость ÷ риск нарушения работы. Порог задайте исходя из собственного аппетита к риску.

Какие ошибки при усилении защиты встречаются чаще всего?

Чаще всего инструмент отключают целиком и ломают рабочий процесс либо оставляют «временные» исключения навсегда. Перед каждым циклом проверьте этот список:

Полное отключение инструмента: TechZone отмечает, что PowerShell и Certutil используют и многие сторонние приложения, поэтому отключение может серьёзно нарушить работу; выбирайте ограничения на уровне действий.
Забытые временные права: доступ к PowerShell, выданный под одну задачу и не отозванный, расширяет поверхность; PHASR рекомендует отзывать неиспользуемый доступ.
Журналирование по умолчанию: руководство рекомендует подробное централизованное журналирование командных строк, активности PowerShell и WMI.
Забытые игнорируемые риски: игнорируемая находка исключается из риск-оценки компании; фиксируйте причину и дату пересмотра.
Открытая облачная идентификация: руководство указывает и на безопасные базовые конфигурации для Microsoft 365; см. наш чек-лист настроек безопасности Microsoft 365.

Частые вопросы

Заменяет ли сокращение поверхности атаки антивирус?

Нет, они дополняют друг друга. Антивирус и EDR обнаруживают и останавливают вредоносную активность, а сокращение поверхности атаки заранее убирает инструменты, настройки и уязвимости, которыми мог бы воспользоваться злоумышленник. Совместное руководство по LOTL тоже разделяет меры обнаружения и усиления защиты и подчёркивает, как трудно выявить злоупотребление легитимными инструментами одним обнаружением.

В какой пакет GravityZone входит PHASR?

Согласно странице продукта Bitdefender, PHASR предлагается как дополнительная лицензия к Business Security Enterprise, услугам MDR и решениям GravityZone Cloud MSP, а также как отдельный продукт, совместимый с EDR/XDR других производителей. Чтобы обсудить добавление к вашей текущей лицензии, используйте форму Получить расчёт.

Сколько длится обучение PHASR?

По данным TechZone, обучение длится 30–60 дней в зависимости от отслеживаемых правил. Если используется компонент EDR в GravityZone, исторические данные могут сократить срок до нескольких минут. Отдельный агент PHASR не может использовать историю EDR, поэтому его обучение так не ускорить; учитывайте это при планировании пилота.

Что делать, если ограничение мешает работе сотрудника?

В Windows пользователь может запросить доступ через Request Access, указав обоснование; запрос уходит администратору. В режиме Autopilot администраторы с сентября 2026 г. могут вручную переопределить ограничение: доступ остаётся открытым пять дней и снова ограничивается, если инструмент не используется. Пилотная группа помогает увидеть такие запросы заранее.

Можно ли полностью предотвратить атаки living off the land?

Согласно совместному руководству, не существует безотказного решения, которое полностью предотвращает или обнаруживает активность LOTL. Рекомендуется многоуровневый подход: подробное централизованное журналирование, базовые профили поведения, белые списки приложений, сегментация сети и устойчивая к фишингу многофакторная аутентификация. Сокращение поверхности атаки — один из этих уровней.

Чем белый список приложений отличается от PHASR?

Согласно NIST SP 800-167, белый список приложений — это перечень приложений, разрешённых к запуску в организации; он решает, может ли приложение вообще запуститься. PHASR на основе поведения определяет, какие действия внутри разрешённого инструмента доступны конкретному пользователю. Для Windows руководство рекомендует AppLocker и Windows Defender Application Control; подходы можно сочетать.

Итоги

Атаки LOTL используют легитимные инструменты, поэтому одного обнаружения недостаточно; совместное руководство ставит на первое место базовые профили и белые списки.
В GravityZone Risk Management отвечает за ошибки конфигурации и уязвимости, Patch Management — за патчи, PHASR — за ограничение инструментов для каждого пользователя.
Запуск PHASR в пилотной группе в режиме Direct Control и перевод стабильных категорий в Autopilot снижает риск сбоев в работе.
Ранжируйте находки по влиянию, признакам эксплуатации, распространённости и риску сбоев, а каждое игнорирование фиксируйте с причиной и датой.

Sora Yazılım Teknolojileri выполняет подбор, поставку, внедрение, поддержку и управляемое обслуживание решений Bitdefender GravityZone; объём работ по усилению защиты определяется договором. Запишитесь на бесплатную консультацию, чтобы вместе оценить вашу среду.

Бесплатная консультация · WhatsApp: Поддержка в WhatsApp · Телефон: +90 544 785 21 87 · E-mail: talep@sorayazilim.com

Источники

Identifying and Mitigating Living Off the Land Techniques (совместное руководство) — CISA, NSA, FBI, ACSC, Canadian Centre for Cyber Security, NCSC-UK, NCSC-NZ и другие, 7 февраля 2024 г. ncsc.govt.nz (дата обращения: 19 октября 2026 г.)
Страницы техник MITRE ATT&CK v20 — MITRE. T1218, T1059.001, T1047, T1197 (дата обращения: 19 октября 2026 г.)
CIS Critical Security Controls v8.1 — Center for Internet Security. cisecurity.org (дата обращения: 19 октября 2026 г.)
SP 800-167, Guide to Application Whitelisting — NIST, октябрь 2015 г. csrc.nist.gov (дата обращения: 19 октября 2026 г.)
Статьи Bitdefender TechZone: PHASR, Risk Management, Endpoint Risk Management (дата обращения: 19 октября 2026 г.)
Страница продукта GravityZone PHASR — Bitdefender. bitdefender.com (дата обращения: 19 октября 2026 г.)
Пресс-релизы о PHASR — Bitdefender, 23 сентября 2024 г. и 23 апреля 2025 г. (дата обращения: 19 октября 2026 г.)
What's New in GravityZone September 2026 (v 6.77) — Bitdefender. bitdefender.com (дата обращения: 19 октября 2026 г.)
Страницы GravityZone Patch Management и сравнения пакетов — Bitdefender (дата обращения: 19 октября 2026 г.)

Как подготовлена статья

Подготовлено: команда Sora Yazılım. Статья подготовлена с помощью ИИ; технические сведения сверены с источниками производителя и официальными источниками, ссылки на которые приведены в тексте, по состоянию на 19 октября 2026 г.