Antivirus y exclusiones

Sí, Stoïk recomienda encarecidamente desinstalar cualquier antivirus existente u otra solución EDR antes de instalar su Stoïk MDR EDR (CrowdStrike o SentinelOne), para evitar cualquier conflicto que pudiera comprometer el correcto funcionamiento de la solución.

CrowdStrike

Los equipos de Stoïk han implementado un despliegue gradual en tres fases para limitar el riesgo de bloqueos y el impacto en las estaciones de trabajo de los usuarios, y la fase 1 le permite instalar el EDR manteniendo su antivirus o EDR en su lugar. Por lo tanto, es esencial desinstalar su antivirus o EDR anterior antes de pasar a la fase 2.

Si no lo desinstala antes de pasar a la fase 2, puede aparecer una "pantalla azul" cuando se reinicie la estación de trabajo.

Sin embargo, algunas soluciones antivirus o EDR, ya sean de uso único o de usos múltiples, pueden causar bloqueos ya en la fase 1 del despliegue. Estas soluciones se enumeran más adelante en este documento.

SentinelOne

SentinelOne no utiliza un despliegue por fases: la protección completa está activa en cuanto se instala. Por lo tanto, es esencial desinstalar su antivirus o EDR anterior antes de instalar SentinelOne, para evitar cualquier conflicto.

Antivirus de uso único

Estos programas tienen una sola función: la protección antivirus.

CrowdStrike

• Bitdefender: debe desinstalarse durante la fase 1 del despliegue. Si no lo desinstala, puede producirse una pantalla azul al reiniciar su ordenador.

• Trend Micro: debe desinstalarse a partir de la fase 2 del despliegue; de lo contrario, pueden aparecer mensajes de error.

• macOS: No se conocen conflictos, no se requiere ninguna acción.

SentinelOne

• Bitdefender y Trend Micro: debe desinstalarse antes de la instalación, ya que SentinelOne no cuenta con un despliegue por fases.

• macOS: No se conocen conflictos, no se requiere ninguna acción.

Soluciones multipropósito

Estos programas de software ofrecen varias funciones de seguridad en una sola herramienta: antivirus, cortafuegos, control de dispositivos USB, EDR integrado, etc. Ejemplos comunes incluyen WithSecure, ESET, y Kaspersky.

CrowdStrike

Simplemente desactive solo la funcionalidad antivirus; no es necesario desinstalar todo el software.

Para Windows Defender, no es necesario desinstalarlo; es totalmente compatible con su EDR. Permanece activo en la fase 1, y el motor antivirus se desactiva automáticamente en la fase 2.

SentinelOne

Estas soluciones deben desinstalarse por completo antes de instalar SentinelOne, ya que no hay un despliegue por fases que tolere un conflicto temporal.

La única excepción es Windows Defender: no es necesario desinstalarlo, es totalmente compatible con SentinelOne, y el motor antivirus se desactiva automáticamente en cuanto se instala SentinelOne.

Atención a los efectos secundarios en Windows:

Si deshabilita por completo la solución multipropósito, y anteriormente gestionaba su cortafuegos, entonces:

• El Cortafuegos de Windows tomará el control automáticamente.

• Sin embargo, aplicará sus propias reglas predeterminadas, muy restrictivas.

• Esto puede bloquear por completo sus conexiones de red.

La solución es reconfigurar su cortafuegos local de Windows con las reglas y exclusiones necesarias para restaurar las conexiones esperadas.

Ejemplo de mensaje de error:

Reglas de exclusión

La gestión de los flujos de las aplicaciones mediante reglas de exclusión es un enfoque específico de las soluciones antivirus tradicionales, pero no se aplica a un EDR como CrowdStrike o SentinelOne.

Diferencia de funcionamiento entre antivirus y EDR

• Antivirus: analiza de forma proactiva todos los archivos inactivos del sistema (se ejecuten o no). Esto genera un gran volumen de análisis y requiere numerosas exclusiones para evitar falsos positivos en archivos inactivos.

• EDR (CrowdStrike, SentinelOne): se centra únicamente en los archivos que realmente se ejecutan y en los comportamientos dinámicos del sistema (procesos, conexiones, acciones de usuario, etc.). No se realiza un análisis continuo de todo el disco; los archivos inactivos no se analizan salvo durante los análisis manuales.

Dado que un EDR analiza comportamientos sospechosos en lugar de firmas, excluir una carpeta del análisis es innecesario.

Excluir una carpeta tendría un efecto negativo: si se produjera un comportamiento sospechoso en esa carpeta, el EDR no podría detectarlo. Dicho esto, esto sigue siendo técnicamente posible si la necesidad es validada por nuestro equipo SOC.

Prevención inteligente y gestión reactiva de exclusiones

Su EDR integra un conjunto de mecanismos preventivos para limitar los falsos positivos sin intervención manual:

• Las listas de exclusión preconfiguradas se aplican automáticamente durante el despliegue.

• En caso de una detección sospechosa que involucre una aplicación empresarial, el programa se bloquea temporalmente y luego es analizado por nuestro SOC antes de tomar cualquier medida definitiva.

Para evitar posibles interrupciones empresariales no deseadas, el aislamiento completo se realiza solo manualmente, ya sea después del análisis por parte de nuestro equipo SOC o por usted.

Las exclusiones no deben definirse de antemano

Intentar anticipar exclusiones antes de que se produzca cualquier detección representa un riesgo importante:

• Equivale a excluir de forma preventiva comportamientos potencialmente maliciosos simplemente porque están asociados a una aplicación empresarial conocida.

• Resultado: corre el riesgo de neutralizar las capacidades de detección del EDR, permitiendo que ciertos ataques pasen desapercibidos.

En Stoïk, las exclusiones se gestionan solo en respuesta a una detección real, en función del análisis del SOC.

Conclusión

Las exclusiones en un EDR son muchas menos y se aplican solo cuando realmente ha ocurrido un evento de bloqueo. No es ni necesario ni aconsejable añadir reglas de exclusión «preventivas» como haría con un antivirus tradicional.

Ejemplo concreto: Uno de nuestros clientes (un actor nacional del comercio minorista) tenía más de 3.000 estaciones de trabajo y varios miles de exclusiones en su solución antivirus anterior. Tras cambiar a un EDR, no se requirió ninguna exclusión.