ابزارهای EDR (Endpoint Detection and Response) همچنان برای شناسایی اجرای کد روی میزبان ضروری هستند، اما یک چالش اساسی وجود دارد: بسیاری از تیم‌های امنیتی انتظار دارند EDR هر فعالیت غیرعادی، از جمله فعالیت‌های مبتنی بر SaaS در مرورگر را که ممکن است شبیه به یک نشست (Session) کاربری عادی باشد، شناسایی کند.
۱. سوءاستفاده از جریان‌های احراز هویت و OAuth
در محیط‌های متکی به SaaS، کاربر می‌تواند از طریق مرورگر به برنامه‌های ابری متصل شده، درخواست‌های OAuth را تایید کند یا داده‌های حساس را آپلود نماید. این اقدامات لزوماً منجر به ایجاد یک فایل اجرایی (Executable) یا پردازشی نمی‌شوند که سیستم‌های دفاعی اندپوینت آن را به عنوان بدافزار شناسایی کنند.
- مثال عملی: در یک حادثه مربوط به Salesloft Drift، عامل تهدید (Threat Actor) با دستیابی به توکن‌های OAuth، توانست حجم زیادی از فراخوانی‌های API را علیه محیط‌های Salesforce مشتریان انجام دهد. در این مورد، دسترسی احراز شده به SaaS اجازه سرقت داده‌ها را بدون نیاز به اجرای بدافزار داد.
- حملات AiTM: در حملات Adversary-in-the-Middle، مهاجم با استفاده از صفحات فیشینگ، جریان احراز هویت را در لحظه Proxy کرده و اعتبارنامه‌ها، Session Cookies و توکن‌های OAuth را سرقت می‌کند. از دید تله‌متری معمولی اندپوینت، این جریان کاملاً قانونی به نظر می‌رسد.
۲. تهدیدات ناشی از افزونه‌های مرورگر (Browser Extensions)
افزونه‌های مرورگر باعث ایجاد یک مشکل دید (Visibility) می‌شوند؛ زیرا کد آن‌ها درون پردازش‌های مرورگر اجرا می‌شود. یک افزونه مخرب می‌تواند با استفاده از APIهای استاندارد مرورگر، محتوای صفحات را بخواند، URLها را رصد کند و داده‌ها را از طریق HTTPS ارسال کند، بدون اینکه نیاز به ایجاد یک پردازش مشکوک در سطح سیستم‌عامل باشد.
به عنوان مثال، افزونه‌های مخربی که در قالب دستیارهای AI ظاهر شده بودند، توانستند محتوای گفتگوهای ChatGPT و DeepSeek را جمع‌آوری کرده و به سرورهای مهاجم ارسال کنند. در این حالت، EDR تنها یک پردازش عادی مرورگر را می‌بیند که در حال برقراری ارتباط HTTPS است، در حالی که فعالیت مخرب در لایه افزونه در حال رخ دادن است.
۳. حملات پیش از اجرای کد روی میزبان (Pre-Execution Attacks)
برخی حملات کاملاً درون نشست وب تکمیل می‌شوند. وب‌سایت‌های آلوده یا اسکریپت‌های تزریق شده می‌توانند محتوای رندر شده را تغییر دهند یا کلیپ‌بورد (Clipboard) را دستکاری کنند. در حملات موسوم به ClickFix، کاربر با دیدن یک اعلان جعلی (مانند CAPTCHAهای جعلی Cloudflare)، ترغیب می‌شود تا یک دستور مخرب را کپی کرده و در PowerShell یا Windows Terminal اجرا کند.
تا لحظه اجرای دستور در ترمینال، تمام فعالیت‌ها (دستکاری محتوا و کلیپ‌بورد) در لایه مرورگر رخ داده و برای EDR نامرئی بوده‌اند. تنها پس از اجرای دستور است که تله‌متری اندپوینت فعال شده و مواردی مانند دانلود فایل‌های ZIP یا DLL Side-loading را شناسایی می‌کند.
راهکارهای مقابله
برای پوشش این نقاط کور، سازمان‌ها باید کنترل‌ها را در سه لایه پیاده‌سازی کنند:
- استفاده از احراز هویت مقاوم در برابر فیشینگ: بهره‌گیری از استانداردهای FIDO2 WebAuthn که پاسخ احراز هویت را به صورت رمزنگاری شده به مبدأ (Origin) قانونی متصل می‌کند.
- مدیریت متمرکز افزونه‌ها: ایجاد لیست‌های مجاز (Allowlists) و بازبینی مجوزهای افزونه‌هایی که دسترسی خواندن یا تغییر محتوای وب دارند.
- کنترل‌های لایه مرورگر: استفاده از ابزارهای Browser DLP برای محدود کردن آپلود/دانلود داده‌ها و مسدود کردن مقصدهای فیشینگ پیش از آنکه حمله به مرحله اجرای کد در اندپوینت برسد.
