Admin
Администратор
Исследователи выявили новый способ обхода систем защиты конечных точек.
Инструмент EDRChoker позволяет изолировать EDR-агенты от облачной инфраструктуры без прямого вмешательства.
EDRChoker использует встроенный механизм Windows Policy-Based Quality of Service для ограничения пропускной способности сетевого канала EDR-агентов. Это приводит к тому, что агенты теряют связь с серверами управления, продолжая выглядеть активными. Инструмент работает на уровне ниже фильтрации пакетов, что делает его действия менее заметными для систем мониторинга. Современные EDR-платформы сильно зависят от постоянной связи с облаком, и потеря этой связи может привести к серьезным уязвимостям в защите. Для предотвращения подобных атак необходимо расширить мониторинг, включив в него контроль QoS-политик и сетевых ограничений.
