Əsas fikir
Hansı aktivlərin izlənəcəyini və xəbərdarlığı kimin araşdıracağını müəyyən edin; SIEM ilə korrelyasiyanı sınaqdan keçirin.
IDS nəyi izləyir?
Intrusion Detection System şəbəkə trafikini və ya host hadisələrini məlum imzalar, qaydalar və ya davranış göstəriciləri ilə müqayisə edib xəbərdarlıq yarada bilər. IDS rejimi çox vaxt aşkarlama üçündür; IPS ilə qarışdırılmamalıdır, çünki IPS trafikə müdaxilə edib bloklama edə bilər. Məhsulun şəbəkə, host və şifrəli trafik görünüşünü ayrıca qiymətləndirin.
EDR-in endpoint görünüşü
EDR agenti endpoint-də proses ağacı, fayl fəaliyyəti və istifadəçi konteksti kimi telemetriyanı toplaya bilər; komandaya hadisəni araşdırmaq və dəstəklənən cavab addımlarını icra etmək imkanı verir. Agent quraşdırılmayan cihazlar və şəbəkə səviyyəsində baş verən hadisələr bu görünüşdən kənarda qala bilər. Əhatə və saxlama müddətini sınaq mühitində yoxlayın.
| Meyar | IDS | EDR |
|---|---|---|
| Müşahidə nöqtəsi | Şəbəkə və ya host sensorları | İdarə olunan endpointlər |
| Kontekst | Sensor hadisələri | Proses, fayl və istifadəçi konteksti |
| Addım | Xəbərdarlıq; IPS ayrıca bloklaya bilər | Dəstəklənən və icazəli endpoint cavabı |
| Boşluq | Sensor yerləşməsi və şifrələmə | Agentin olmaması və saxlama sərhədləri |
Birgə aşkarlama və cavab
IDS şəbəkədəki şübhəli əlaqəni, EDR isə həmin vaxt endpoint-dəki prosesi göstərə bilər. Bu siqnalları SIEM və ya hadisə iş axınında vaxt, cihaz, istifadəçi və göstəricilərə görə birləşdirin. Xəbərdarlıq həddini, triage sahibini, yanlış müsbətlərin bağlanmasını və mümkün izolə etmə qərarını sənədləşdirin.