Əsas fikir
EDR agentindən dəyər almaq üçün siqnalları araşdırma və müdaxilə prosesinə bağlayın; dəstəklənən əməliyyatları və saxlanılan sübutları əvvəlcədən müəyyən edin.
Agentin rolu və topladığı məlumatlar
EDR agenti (Endpoint Detection and Response) kompüterdə və serverdə baş verənləri müşahidə edir: proseslərin başladılması, fayl dəyişiklikləri, reyestr fəaliyyəti və şəbəkə əlaqələri. Davranış və anomaliyalar barədə telemetriya təhlükəsizlik qrupuna hadisənin əhatəsini anlamağa və ilkin səbəbi araşdırmağa kömək edir. Bəzi həllər hadisə zamanı jurnal, fayl heşi və sistem görüntüsü kimi forensik məlumatlar da toplayır; təşkilat toplama və saxlanma qaydalarını əvvəlcədən qiymətləndirməlidir.
Aşkar etmə və cavab tədbirləri
Agent şübhəli fəaliyyətə dair xəbərdarlıq yarada və araşdırmanı dəstəkləyən məlumatı mərkəzləşdirilmiş görünüşdə təqdim edə bilər. Həllin imkanlarından və konfiqurasiyasından asılı olaraq cavab tədbirlərinə cihazı şəbəkədən təcrid etmək, zərərli prosesi dayandırmaq və ya bərpa addımlarını başlatmaq daxil ola bilər. Avtomatlaşdırmanın hansı siqnalla işə düşdüyünü, təsdiq tələb edib-etmədiyini və istifadəçilərə təsirini yoxlayın. Avtomatik cavab təşkilatın təsdiqlənmiş insident prosedurunu əvəz etmir.
EDR antivirusu necə tamamlayır
Antivirus zərərli proqramları aşkar edib bloklamağa yönəlir; müasir həllər imzalarla yanaşı davranış təhlilindən də istifadə edə bilər. EDR cihazda baş verən hadisələri bir-biri ilə əlaqələndirməyə, araşdırmağa və cavab tədbiri seçməyə kömək edir. Funksiyalar qismən üst-üstə düşə bilər, buna görə EDR-i antivirusun avtomatik əvəzi saymayın. Qiymətləndirmədə hadisələrin mərkəzləşdirilmiş təhlili sistemi (SIEM) və şəbəkələrarası ekranlarla inteqrasiyanı, habelə insident qeydlərini müqayisə edin.
Yerləşdirmədən əvvəl yoxlanacaq məqamlar
Agentin əməliyyat sistemləri və hibrid mühitlə uyğunluğunu, cihazların sayı artdıqca idarəetmə üsulunu və onların fəaliyyəti barədə məlumatların saxlanma müddətini yoxlayın. Rolları, xəbərdarlıqların kimə və nə vaxt ötürüləcəyini, cihazı təcrid etməyə kimin səlahiyyəti olduğunu və bərpa məsuliyyətini müəyyən edin. İnsident sınağında agentin hansı məlumatları təqdim etdiyini, analitikin onları necə araşdırdığını və seçilmiş müdaxilənin geri qaytarılmasının mümkün olub-olmadığını yoxlayın.