Antivirus en uitzonderingen

Ja, Stoïk raadt sterk aan om elke bestaande antivirus- of andere EDR-oplossing te verwijderen voordat u uw Stoïk MDR EDR (CrowdStrike of SentinelOne) installeert, om conflicten te voorkomen die de goede werking van de oplossing in gevaar kunnen brengen.

De Stoïk-teams hebben een gefaseerde uitrol in drie fasen geïmplementeerd om het risico op blokkeringen en de impact op de werkstations van gebruikers te beperken, waarbij fase 1 u in staat stelt de EDR te installeren terwijl uw antivirus of EDR behouden blijft. Het is daarom essentieel om uw eerdere antivirus- of EDR-oplossing te verwijderen voordat u doorgaat naar fase 2.

Als u deze niet verwijdert voordat u doorgaat naar fase 2, kan er bij het herstarten van het werkstation een "blue screen" verschijnen.

Echter, sommige antivirus- of EDR-oplossingen, zowel enkelvoudige als multifunctionele, kunnen al in fase 1 van de uitrol blokkeringen veroorzaken. Deze oplossingen worden later in dit document vermeld.

SentinelOne maakt geen gebruik van een gefaseerde uitrol: volledige bescherming is actief zodra het is geïnstalleerd. Het is daarom essentieel om uw eerdere antivirus- of EDR-oplossing te verwijderen voordat u SentinelOne installeert, om elk conflict te vermijden.

Enkelvoudige antivirus

Deze programma's hebben slechts één functie: antivirusbescherming.

Bitdefender: moet tijdens fase 1 van de uitrol worden verwijderd. Als u dit niet verwijdert, kan er een blue screen optreden wanneer u uw computer opnieuw opstart.
Trend Micro: moet vanaf uitrolfase 2 worden verwijderd; anders kunnen foutmeldingen verschijnen.
macOS: Geen bekende conflicten, geen actie vereist.

Bitdefender en Trend Micro: moet vóór de installatie worden verwijderd, aangezien SentinelOne geen gefaseerde uitrol heeft.
macOS: Geen bekende conflicten, geen actie vereist.

Multifunctionele oplossingen

Deze softwareprogramma's bieden meerdere beveiligingsfuncties in één tool: antivirus, firewall, USB-apparaatbeheer, geïntegreerde EDR, enz. Veelvoorkomende voorbeelden zijn WithSecure, ESET, en Kaspersky.

Schakel eenvoudig alleen de antivirusfunctionaliteit uit; het is niet nodig de hele software te verwijderen.

Voor Windows Defender, hoeft u het niet te verwijderen; het is volledig compatibel met uw EDR. Het blijft actief in fase 1, en de antivirus-engine wordt automatisch uitgeschakeld in fase 2.

Deze oplossingen moeten volledig worden verwijderd vóór de installatie van SentinelOne, aangezien er geen gefaseerde uitrol is die een tijdelijk conflict kan tolereren.

De enige uitzondering is Windows Defender: het is niet nodig het te verwijderen, het is volledig compatibel met SentinelOne, en de antivirus-engine wordt automatisch uitgeschakeld zodra SentinelOne is geïnstalleerd.

Let op bijwerkingen op Windows:

Als u de multifunctionele oplossing volledig uitschakelt, en deze eerder uw firewall beheerde, dan:

De Windows Firewall zal automatisch de taak overnemen.
Het zal echter zijn eigen standaardregels toepassen, die zeer strikt zijn.
Dit kan uw netwerkverbindingen volledig blokkeren.

De oplossing is om uw lokale Windows Firewall opnieuw te configureren met de nodige regels en uitzonderingen om de verwachte verbindingen te herstellen.

Voorbeeld van een foutmelding:

Uitsluitingsregels

Het beheren van applicatiestromen via uitsluitingsregels is een aanpak die specifiek is voor traditionele antivirusoplossingen, maar die niet van toepassing is op een EDR zoals CrowdStrike of SentinelOne.

Verschil in werking tussen antivirus en EDR

Antivirus: scant proactief alle slapende bestanden op het systeem (of ze nu worden uitgevoerd of niet). Dit genereert een groot aantal scans en vereist talrijke uitsluitingen om vals-positieven op inactieve bestanden te vermijden.
EDR (CrowdStrike, SentinelOne): richt zich alleen op bestanden die daadwerkelijk worden uitgevoerd en op dynamisch systeemgedrag (processen, verbindingen, gebruikersacties, enz.). Er wordt geen voortdurende volledige schijfscan uitgevoerd; inactieve bestanden worden niet geanalyseerd, behalve tijdens handmatige scans.

Aangezien een EDR verdacht gedrag in plaats van handtekeningen, is het uitsluiten van een map van analyse niet nodig.

Het uitsluiten van een map zou een negatief effect hebben: als zich in die map verdacht gedrag zou voordoen, zou de EDR dit niet kunnen detecteren. Dat gezegd hebbende, dit blijft technisch mogelijk als de noodzaak door ons SOC-team wordt gevalideerd.

Intelligente preventie en reactief uitsluitingsbeheer

Uw EDR integreert een reeks preventieve mechanismen om vals-positieven te beperken zonder handmatige tussenkomst:

Voorgeconfigureerde uitsluitingslijsten worden automatisch toegepast tijdens de uitrol.
In geval van een verdachte detectie waarbij een bedrijfsapplicatie betrokken is, wordt het programma tijdelijk geblokkeerd en vervolgens door ons SOC geanalyseerd voordat een definitieve actie wordt ondernomen.

Om mogelijke ongewenste bedrijfsverstoring te vermijden, wordt volledige isolatie uitgevoerd alleen handmatig, hetzij na analyse door ons SOC-team, hetzij door u.

Uitsluitingen mogen niet vooraf worden gedefinieerd

Proberen uitsluitingen te anticiperen voordat er een detectie plaatsvindt, vormt een groot risico:

Dat komt neer op het preventief uitsluiten van mogelijk kwaadaardig gedrag, enkel omdat het gekoppeld is aan een bekende bedrijfsapplicatie.
Resultaat: u loopt het risico de detectiemogelijkheden van de EDR teniet te doen, waardoor bepaalde aanvallen onopgemerkt blijven.

Bij Stoïk, worden uitsluitingen afgehandeld alleen als reactie op een echte detectie, op basis van SOC-analyse.

Conclusie

Uitsluitingen in een EDR zijn veel minder talrijk en worden toegepast alleen wanneer zich daadwerkelijk een blokkeringsevent heeft voorgedaan. Het is noch noodzakelijk noch aan te raden om 'preventieve' uitsluitingsregels toe te voegen, zoals u bij een traditionele antivirus zou doen.

Concreet voorbeeld: Een van onze klanten (een nationale retailer) had meer dan 3.000 werkstations en enkele duizenden uitsluitingen in hun vorige antivirusoplossing. Na de overstap naar een EDR waren er geen uitsluitingen nodig.

VorigeImplementeer de EDR

VolgendeCrowdStrike

Laatst bijgewerkt 2 maanden geleden

Was dit nuttig?