Serve ancora un antivirus con una VPN attiva?

Parti dal download che stai per eseguire. Hai aperto una pagina, un file è finito nella cartella dei download e la domanda è quale dei tuoi due prodotti di sicurezza lo ha guardato. Il tunnel ha trasportato i byte; qualcosa sul dispositivo deve decidere se il file è sicuro da eseguire. Sono compiti diversi svolti da componenti diversi.

Percorrere un singolo file è più rapido che confrontare elenchi di funzioni, quindi seguilo dal clic alla richiesta di installazione.

Parti da ciò che trasporta il tunnel

Quando richiedi un file tramite una VPN, il client cifra il tuo traffico e lo invia a un endpoint, che lo inoltra verso il sito. Il sito restituisce byte che tornano indietro lungo lo stesso percorso. In nessun momento il tunnel apre l'archivio, ispeziona l'installer o chiede cosa farà l'eseguibile, perché non è questo che fa un trasporto.

La cifratura in transito risolve un problema più ristretto: mantiene il contenuto leggibile solo per gli endpoint di quella connessione. Un file dannoso resta un file dannoso dopo un viaggio perfettamente cifrato. Se il sito che lo ospita è l'aggressore, il tunnel protegge il download dell'aggressore dall'osservazione invece di proteggere te dal payload.

Controlla dove sta andando il tuo traffico prima di fidarti del download. Una pagina che sembra il sito di un fornitore può essere una pubblicità o un dominio simile, e il tunnel la trasporterà con la stessa fedeltà.

Dove si colloca il malware rispetto al tunnel

Il malware deve essere eseguito su qualcosa. Un installer con trojan viene eseguito con i tuoi permessi e, una volta in esecuzione, può leggere file prima che un'applicazione li cifri o dopo che li decifra, il che lo colloca completamente fuori dalla vista del tunnel. Il tunnel può proteggere il percorso di esfiltrazione che segue, e non può impedire il furto avvenuto prima che un solo pacchetto lasciasse il dispositivo.

Per questo la protezione dell'endpoint esiste come controllo separato. Ispeziona i file a riposo dopo il download, osserva il comportamento dei processi e blocca indicatori dannosi noti, con l'avvertenza consueta che il rilevamento dipende da firme, euristiche, ricerche nel cloud e configurazione. Nessuno scanner riconosce tutto, ed è per questo che backup, igiene degli account e download accurati contano ancora.

Apri l'elenco dei download del browser e guarda il nome e la fonte reali del file prima di eseguire qualsiasi cosa. Estensioni doppie, archivi che contengono un eseguibile e installer ottenuti tramite una catena di reindirizzamenti sono tutti visibili in quel momento, e nessuno di essi richiede che tu ragioni di crittografia.

Leggi l'elenco delle funzioni del prodotto installato

Alcune suite riuniscono un client tunnel, un filtro per domini dannosi e uno scanner locale in un solo installer. È un prodotto che combina strumenti, non la prova che uno strumento faccia il lavoro dell'altro. Leggi quale componente fa cosa prima di annullare un abbonamento o disinstallare uno scanner che sta ancora facendo qualcosa.

Il filtro dei domini è quello che più spesso viene confuso con la protezione dell'endpoint. Blocca la risoluzione dei nomi per domini dannosi noti, il che può fermare un download prima che inizi, e non fa nulla per un file già presente sul disco. Lo scanner locale legge il file; il filtro remoto non lo vede mai. Un semplice profilo tunnel importato in un client generico non contiene nessuna di queste funzioni.

I controlli dei permessi si trovano sullo stesso livello della decisione di download. Se un installer chiede diritti di amministratore per modificare le impostazioni di rete, quella richiesta merita di essere letta, e il fatto che il download fosse cifrato non la rende più sicura.

Risolvi un conflitto senza disattivare la protezione

Quando i due prodotti interferiscono, individua il livello che ha fallito prima di aggiungere un'esclusione. Un installer in quarantena, un tunnel che non si stabilisce e un certificato rifiutato sono tre eventi diversi con tre correzioni diverse, e solo il terzo ha a che fare con la crittografia.

Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled
Get-MpThreatDetection | Select-Object -Last 5
Get-NetConnectionProfile | Select-Object Name, InterfaceAlias

Non concedere un'esclusione a un'intera cartella dei download solo perché un file di installazione si avvii. Dove la macchina è gestita, un amministratore decide se un singolo componente verificato meriti un'eccezione ristretta, e ciò che hai allentato viene ripristinato alla fine del test. Se una modifica non ha spiegato il guasto, annullala invece di lasciare il dispositivo più debole di come l'hai trovato.

Nessuno dei due prodotti sostituisce l'altro. Il tunnel gestisce il percorso e l'indirizzo che vede l'estremità remota, la protezione dell'endpoint gestisce il file e il suo comportamento, e le domande frequenti di Microsoft sui software antivirus e antimalware sono un punto di partenza ragionevole per ciò che il secondo dovrebbe coprire.