Əsas fikir
EDR prosesləri, əlaqəli hadisələri və xəbərdarlıqları araşdırmağa, bəzi hallarda cihazı izolyasiya etməyə kömək edə bilər. Nəyin görünməsi telemetriya, qayda və bağlantıdan asılıdır; komandanın cavab sürəti isə aşkarlanmış hadisənin təsirinə təsir edir.
EDR-in rolu: görmək, araşdırmaq, cavab vermək
Ransomware hücumu phishing, oğurlanmış hesab, internetə açıq sistemdəki boşluq və ya başqa giriş yolundan başlaya bilər. Hücumçu giriş əldə etdikdən sonra imtiyazları artırmağa, şəbəkədə hərəkət etməyə, faylları və ehtiyat nüsxələri hədəfləməyə, daha sonra şifrələmə və ya məlumat sızması ilə təhdid etməyə çalışa bilər. EDR-in vəzifəsi son nöqtələrdə bu fəaliyyəti görünən etmək, hadisələri əlaqələndirmək və təşkilatın araşdırma və cavabına kömək etməkdir.
Mərhələli hücum və gec aşkarlanma
İlkin giriş və şifrələmə arasında vaxt dəyişə bilər; sabit müddət fərz etməyin. Gözlənilməz inzibatçı fəaliyyəti, yeni proses və bağlantılar, qeyri-adi girişlər, çoxlu fayla müraciət və ehtiyat nüsxələrinə müdaxiləni araşdırın. Telemetriyanın saxlanma müddətini riskə uyğun seçin və səlahiyyət artımı, sistemlər arasında hərəkət və kütləvi fayl dəyişiklikləri üçün eskalasiya meyarları qurun.
Davranış və maşın öyrənməsi
Davranış qaydaları və maşın öyrənməsi məlum fayl siqnaturası olmadan da araşdırmaya kömək edə bilər. Modellərin siqnalları və istifadəçi-cihaz bazası yaratması məhsula görə dəyişir; bunu universal funksiya saymayın. Təchizatçıdan təlim və qiymətləndirmə məlumatlarını, yenilənməni, yanlış xəbərdarlıqları və buraxılmış aşkarlamaları necə yoxladıqlarını, analitikin qərarı necə nəzərdən keçirdiyini soruşun. «Süni intellekt» etiketi keyfiyyəti sübut etmir.
Çox son nöqtədə axtarış və təhlükə ovlama
Araşdırma komandası proses, fayl, giriş və şəbəkə hadisələrini, Windows cihazlarında isə uyğun reyestr dəyişikliklərini axtara bilməlidir. Axtarışın əhatəsi dəstəklənən OS, toplanan məlumat və saxlanma müddətindən asılıdır. Eyni göstəricini idarə olunan cihazlarda axtarıb oxşar fəaliyyətin miqyasını müəyyən edin. Filtrləri, ixracı, səlahiyyətləri və nəticədən cavab tədbirinə keçidi yoxlayın.
Xəbərdarlıq, təcrid və avtomatik cavab
Təhlükəli davranış aşkarlananda EDR xəbərdarlıq göndərə və bəzi konfiqurasiyalarda cihazı şəbəkədən ayıra bilər. Şəbəkə izolyasiyası tətbiq daxilində zərərin məhdudlaşdırılması, sübutların saxlanması, təmizləmə və bərpa ilə eyni deyil. Hansı sistem və bağlantıların təsirləndiyini, hansı siqnalın tədbiri başlatdığını, təsdiq və istisnaları, tədbirlərin audit jurnalında qeydə alınmasını, yanlış izolyasiyanın kritik xidmətlərə təsirini yoxlayın.
Şəbəkədən kənar və uzaq iş
VPN-in olmaması internet və bulud əlaqəsinin olmaması demək deyil. Yerli qaydaları, növbədə gözləyən əmrləri, telemetriyanın saxlanıb ötürülməsini və yenidən başlatmadan sonrakı davranışı VPN-siz, ayrıca tam internet/bulud əlaqəsi kəsilmiş vəziyyətlərdə yoxlayın. Təhlükəsiz səlahiyyətli simulyasiyaları laboratoriyada və nəzarətli pilotda aparın; işlək şəbəkədə real fidyə proqramını işə salmayın. Nəticələr məhsul və konfiqurasiyaya görə dəyişir.
Bərpa və rəqəmsal ekspertiza
EDR vaxt xətti, proses əlaqələri və hadisələrin əhatəsi barədə məlumat verə bilər. Analitik ilkin girişi, təsirlənmiş sistemləri, hücumçunun addımlarını və məlumat boşluqlarını araşdırır. İxrac, sübut bütövlüyü və səlahiyyətləri yoxlayın. Təhlükənin aradan qaldırılması və təmizlik yoxlamasından sonrakı bərpa ayrıca plan və məsul şəxslər tələb edir.
Təchizatçıya veriləcək suallar
Nümayişdə bir neçə cihaz üçün təhlükəsiz simulyasiya edilmiş şübhəli hadisələrdən və yanlış xəbərdarlığı yoxlamaq üçün zərərsiz hadisədən istifadə edin. VPN-siz və bulud/internet əlaqəsi olmayan ssenariləri ayrıca göstərin. Təchizatçıdan hər mərhələdə telemetriyanı, axtarışı, xəbərdarlıq gecikməsini, izolyasiya şərtlərini və analitikin addımlarını göstərməsini istəyin.
Görünürlük
Hansı proses, fayl, qeyd dəftəri, giriş və şəbəkə hadisələri toplanır? Bu məlumat neçə gün saxlanılır və daha əvvəlki məlumat haradan əldə edilir?
Axtarış və ovlama
Təhlilçi şübhəli proses, istifadəçi, fayl və bağlantını bütün idarə olunan cihazlar üzrə necə axtarır? Kəşfiyyat məlumatının mənbəyi və tarixçəsi görünürmü?
Təcrid və oflayn rejim
Şəbəkə izolyasiyası hansı bağlantıları dayandırır və araşdırma üçün idarəetmə kanalı qalırmı? VPN olmadan və internet/bulud bağlantısı kəsiləndə agent ayrı-ayrılıqda necə işləyir? Əlaqə bərpa olunanda növbədəki əmrlər və telemetriya ilə nə baş verir?
Əməliyyat və bərpa
Yanlış pozitiv xəbərdarlıq necə yoxlanır? Hansı cavablar təsdiq tələb edir? Hadisə məlumatını ixrac etmək, sübutları qorumaq və təmiz ehtiyat nüsxədən bərpa etmək üçün hansı komandalar və inteqrasiyalar lazımdır?