Hebt u nog antivirus nodig als er een VPN draait?

Begin bij de download die u op het punt staat uit te voeren. U opende een pagina, er belandde een bestand in de downloadmap, en de vraag is welk van uw twee beveiligingsproducten ernaar heeft gekeken. De tunnel vervoerde de bytes; iets op het apparaat moet beslissen of het bestand veilig is om uit te voeren. Dat zijn verschillende taken, uitgevoerd door verschillende onderdelen.

Eén bestand doorlopen is sneller dan functielijsten vergelijken, dus volg het van de klik tot de installatieprompt.

Begin bij wat de tunnel vervoert

Wanneer u een bestand via een VPN opvraagt, versleutelt de client uw verkeer en stuurt het naar een eindpunt, dat het doorstuurt naar de site. De site stuurt bytes terug die dezelfde weg terugreizen. De tunnel opent op geen enkel moment het archief, inspecteert de installer niet en vraagt niet wat het uitvoerbare bestand zal doen, want dat is niet wat transport doet.

Versleuteling onderweg lost een smaller probleem op: het houdt de inhoud alleen leesbaar voor de eindpunten van die verbinding. Een kwaadaardig bestand blijft een kwaadaardig bestand na een perfect versleutelde reis. Is de site die het host de aanvaller, dan beschermt de tunnel de download van de aanvaller tegen observatie in plaats van u tegen de payload.

Controleer waar uw verkeer naartoe gaat voordat u de download vertrouwt. Een pagina die op de site van een leverancier lijkt, kan een advertentie of een gelijkende domeinnaam zijn, en de tunnel vervoert dat even trouw.

Waar malware zit ten opzichte van de tunnel

Malware moet op iets draaien. Een installer met een trojan draait met uw rechten, en eenmaal actief kan hij bestanden lezen voordat een toepassing ze versleutelt of nadat die ze ontsleutelt, wat hem volledig buiten het zicht van de tunnel plaatst. De tunnel kan het exfiltratiepad erna beschermen, en hij kan de diefstal niet voorkomen die plaatsvond voordat er ook maar één pakket het apparaat verliet.

Daarom bestaat eindpuntbeveiliging als aparte controle. Ze inspecteert bestanden in rust na de download, observeert procesgedrag en blokkeert bekende slechte indicatoren, met het gebruikelijke voorbehoud dat detectie afhangt van signaturen, heuristiek, cloudopvragingen en configuratie. Geen enkele scanner herkent alles, en daarom wegen back-ups, accounthygiëne en zorgvuldige downloads nog steeds.

Open de downloadlijst van de browser en kijk naar de werkelijke bestandsnaam en herkomst voordat u iets uitvoert. Dubbele extensies, archieven met een uitvoerbaar bestand en installers die via een omleidingsketen zijn opgehaald, zijn op dat moment allemaal zichtbaar, en geen ervan vraagt u na te denken over cryptografie.

Lees de functielijst van het product dat u hebt geïnstalleerd

Sommige suites bundelen een tunnelclient, een filter voor kwaadaardige domeinen en een lokale scanner in één installer. Dat is een product dat hulpmiddelen combineert, geen bewijs dat het ene hulpmiddel het werk van het andere doet. Lees welk onderdeel wat doet voordat u een abonnement opzegt of een scanner verwijdert die nog iets doet.

Het domeinfilter is degene die het vaakst met eindpuntbeveiliging wordt verward. Het blokkeert naamresolutie voor bekende slechte domeinen, wat een download kan stoppen voordat hij begint, en het doet niets met een bestand dat al op de schijf staat. Een lokale scanner leest het bestand; een extern filter ziet het nooit. Een eenvoudig tunnelprofiel dat in een generieke client wordt geïmporteerd, bevat geen van die functies.

Machtigingscontroles zitten in dezelfde laag als de downloadbeslissing. Als een installer beheerdersrechten vraagt om netwerkinstellingen te wijzigen, is dat verzoek het lezen waard, en het feit dat de download versleuteld was, maakt het niet veiliger.

Los een conflict op zonder beveiliging uit te schakelen

Wanneer de twee producten elkaar storen, bepaal dan welke laag heeft gefaald voordat u een uitzondering toevoegt. Een installer in quarantaine, een tunnel die niet tot stand komt en een geweigerd certificaat zijn drie verschillende gebeurtenissen met drie verschillende oplossingen, en alleen de derde heeft iets met cryptografie te maken.

Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled
Get-MpThreatDetection | Select-Object -Last 5
Get-NetConnectionProfile | Select-Object Name, InterfaceAlias

Geef geen uitzondering aan een hele downloadmap alleen zodat één installatiebestand start. Waar de machine wordt beheerd, beslist een beheerder of één geverifieerd onderdeel een smalle uitzondering verdient, en wat u hebt versoepeld, wordt hersteld wanneer de test eindigt. Als een wijziging de fout niet verklaarde, draai hem terug in plaats van het apparaat zwakker achter te laten dan u het aantrof.

Geen van beide producten vervangt het andere. De tunnel regelt de route en het adres dat de andere kant ziet, eindpuntbeveiliging regelt het bestand en zijn gedrag, en de veelgestelde vragen van Microsoft over antivirus- en antimalwaresoftware zijn een redelijk uitgangspunt voor wat het tweede wordt geacht te dekken.