Əsas fikir
Müqayisəni aşkarlama mənbələri, trafik qaydaları və cavab səlahiyyətləri üzrə aparın.
Qısa cavab və rolların müqayisəsi
EDR firewall deyil. Firewall trafikin hansı qaydaya əsasən keçəcəyini müəyyənləşdirir; EDR son nöqtədə nə baş verdiyini göstərir və araşdırma ilə cavaba kömək edir. “EDR firewall” ifadəsi istehsalçıdan asılı olaraq host qaydaları, şəbəkə izoləsi və ya başqa funksiya mənasına gələ bilər.
| Meyar | Firewall | EDR |
|---|---|---|
| Nəzarət yeri | Şəbəkə sərhədi, daxili seqment və ya host | Agent quraşdırılmış son nöqtə |
| Görünən siqnallar | Trafik metadatası; dəstəklənirsə tətbiq və məzmun yoxlaması | Proses, fayl və host fəaliyyəti |
| Trafik siyasəti | IP, port və protokol qaydaları; tətbiq və vəziyyət yoxlaması imkanlardan asılıdır | Yalnız məhsul dəstəkləyirsə host firewall qaydaları |
| Araşdırma və cavab | Trafik qərarı və qayda dəyişikliyi | Host hadisəsinin konteksti və dəstəklənən cavab tədbirləri |
| Məhsuldan asılı olaraq üst-üstə düşən funksiyalar | Host firewall şəbəkə gateway-ni tam əvəz etmir | Şəbəkə izoləsi firewall siyasəti ilə eyni deyil |
EDR və firewall fərqli suallara cavab verir
Firewall hansı bağlantının şəbəkəyə daxil və ya çıxmasına icazə verildiyini müəyyənləşdirir. EDR endpoint-də hansı proses və fəaliyyətin baş verdiyini göstərərək şübhəli davranışın araşdırılmasına yardım edir. Fərq nəzarətin tətbiq olunduğu nöqtədə və əldə edilən telemetriyadadır.
Üst-üstə düşən funksiyaları məhsul üzrə yoxlayın
EDR agent bəzi məhsullarda host firewall qaydalarını idarə edə bilər, lakin bu, hər EDR üçün standart deyil və şəbəkə gateway firewall ilə eyni əhatəni vermir. İstehsalçı sənədlərində lisenziya, dəstəklənən əməliyyat sistemi, qaydaların mənbəyi, idarəetməsi və offline davranışı yoxlayın. Mövcud perimeter qaydalarının avtomatik təkrarlandığını fərz etməyin.
Qərarı əhatə boşluqlarına görə verin
İnternet sərhədi, daxili seqmentlər və endpointlər üçün tələb olunan siyasətləri ayrı müəyyən edin. Sonra mövcud alətlərin bağlantı filtrasiyası, proses görünüşü, xəbərdarlıq və cavab ehtiyaclarını hansı dərəcədə ödədiyini müqayisə edin. Pilot sınaqda bloklama qaydalarının legitim işə mane olmadığını və insident addımlarının izlənə bildiyini təsdiqləyin.
Əlaqələndirilmiş cavab nümunəsi
EDR və firewall üzrə birgə işi məşq edin: siqnalları tutuşdurun, cavab tədbirlərini təsdiqləyin və xidməti bərpa edin. Təlim müzakirəsi və texniki sınaqda həm aşkarlamanı, həm də gündəlik işə təsiri qiymətləndirin.
Siqnalları tutuşdurun
EDR xəbərdarlığını firewall bağlantı jurnalları və aktiv konteksti ilə tutuşdurun.
Səlahiyyətli cavabı seçin
Təyin olunmuş təsdiqləyici cihazın izoləsini və ya hesaba girişin məhdudlaşdırılmasını, eləcə də trafik qaydasının dəyişməsini ayrı qərarlarla təsdiqləsin.
Qərarı və sübutu qeyd edin
Sahibi, görülən işləri, vaxtı və audit izini qeyd edin; məlumat və sübutları qoruyun.
Bərpanı təsdiqləyin
Təhdid aradan qaldırıldıqdan sonra xidmətin işlədiyini yoxlayın və müvəqqəti izolyasiyanın və qaydaların götürülməsini təsdiqləyin.