Əsas fikir
EDR proseslərin, fayl və sistem dəyişikliklərinin, istifadəçi girişlərinin və şəbəkə əlaqələrinin müəyyən hissəsini əlaqələndirə bilər. Hansı məlumatların toplandığını və saxlandığını yoxlayın, şübhəli hadisələri araşdırın və məhdudlaşdırma addımlarını insident planına uyğun tətbiq edin.
EDR hansı işi görür?
Endpoint detection and response (EDR) noutbuk, masaüstü kompüter və server kimi son nöqtələrdə təhlükəsizlik hadisələrini izləməyə və araşdırmağa kömək edən alətlər sinfidir. Planşet və mobil cihazların əhatəsini məhsul, konfiqurasiya və əməliyyat sistemi üzrə ayrıca yoxlayın. EDR telemetriya toplaya, şübhəli fəaliyyəti aşkarlaya, araşdırmaya məlumat verə və cavab tədbirlərini başlada bilər. Qoruma səssizcə uğursuz olduqda saxlanmış hadisələr baş verənləri anlamağa kömək edə bilər.
Hansı məlumatlar toplanır?
Məhsulun ayarlarından və siyasətindən asılı olaraq EDR agenti cihaz və istifadəçi girişini, prosesləri, oxunan və yazılan fayl adlarını, sistem və reyestr dəyişikliklərini, sürücülərin yüklənməsini, disk və yaddaş fəaliyyətini, şəbəkə bağlantılarının metadatasını və ünvanları qeydə ala bilər. Məsələn, istifadəçi Word-də «Nümunə.docx» sənədini açdıqda hadisə istifadəçi, cihaz, Word prosesi və fayl adı ilə əlaqələndirilə bilər. Şəbəkə metadatası saytın ünvanını göstərə bilər, amma səhifənin məzmununu göstərməyə bilər; məhsulun başqa məzmun toplayıb-toplamadığını ayrıca yoxlayın. Telemetriya, məxfilik və saxlanma qaydalarını qiymətləndirin.
Hadisələr necə aşkar edilir?
Faylı bir dəfə yoxlamaqla yanaşı, EDR proseslər və sistem hadisələri arasındakı əlaqələri təhlil edə bilər. Siqnaturalar məlum nümunələri tapır; kodun dəyişməsi müəyyən siqnatura uyğunluğunu poza bilər, amma bütün siqnaturaları yararsız etmir. Davranış təhlili çoxlu fayla gözlənilməz giriş, şübhəli sistem dəyişiklikləri və qeyri-adi bağlantı ardıcıllığını kontekstdə qiymətləndirir. İcazə və blok siyahıları ayrıca qaydalar verir. Heç bir üsul təkbaşına bütün təhdidləri etibarlı aşkarlamır.
Kod dəyişir, funksiya qalır
Zərərli proqramın kodu permutasiya, registr adlarının dəyişdirilməsi və ya əlavə əmrlərlə dəyişə bilər. Bu dəyişikliklər məlum imzaya uyğunluğu poza bilər, amma davranış və digər kontekst siqnalları yenə araşdırıla bilər.
Davranış siqnalları kontekstdə yoxlanır
Sandbox mühitini aşkarlamaq cəhdi, təhlükəsizlik nəzarətlərinin söndürülməsi, rootkit quraşdırılması və avtomatik başlanğıca yazılma araşdırma üçün siqnaldır. Qanuni inzibati və quraşdırma fəaliyyəti də oxşar dəyişikliklər yarada bilər; prosesi, istifadəçini, vaxtı və dəyişikliklərin ardıcıllığını yoxlayın.
Statik və dinamik təhlil
Statik təhlil faylı icra etmədən onun strukturunu araşdırır; dinamik təhlil isə nəzarətli mühitdə icra zamanı müşahidə olunan davranışa baxır. Dinamik yoxlama nəticə verməzdən əvvəl gözləmə və resurs tələb edə bilər, sandboxdan xəbər tutan proqram isə orada fərqli davrana bilər. Nəticələri istifadəçi və son nöqtə telemetriyası ilə tutuşdurun.
Faylsız hücumlar və görünürlük
«Faylsız» üsul ayrıca icra faylını diskə yazmadan yaddaşdan və ya qanuni sistem alətlərindən istifadə edə bilər; bu, bütün hücumun disksiz olduğunu bildirmir. Belə fəaliyyət yaddaşda, proses zəncirində, istifadəçi kontekstində, sistem dəyişikliklərində və şəbəkə əlaqələrində iz buraxa bilər. Araşdırma imkanları telemetriya əhatəsindən və saxlanma müddətindən asılıdır.
Araşdırma və ovlama
Təhlükəsizlik analitiki xəbərdarlığı təsdiqləmək üçün hadisə ardıcıllığını zaman xətti üzrə yoxlaya, prosesin hansı istifadəçi ilə başladığını, hansı fayla müraciət etdiyini və hansı şəbəkə ünvanına qoşulduğunu axtara bilər. Eyni sorğular idarə olunan digər cihazlarda da aparılaraq oxşar fəaliyyətin yayılıb-yayılmadığı araşdırılır. Təhdid kəşfiyyatı müşahidə edilən göstəricilərə əlavə kontekst verə bilər; kəşfiyyat mənbəyinin kimə aid olduğunu və yenilənmə vaxtını yoxlayın. Aktiv ovlama analitikin xəbərdarlıq gözləmədən şübhəli nümunələri axtarmasıdır.
Aktiv inventarını yeniləyin
Təhdid axtarışına və sistemlərin ələ keçirilib-keçirilmədiyini qiymətləndirməyə başlamazdan əvvəl host, server, tətbiq və digər idarə olunan sistemlərin əhatəsini yoxlayın. Naməlum aktivlər araşdırmadan kənarda qala bilər.
Kompromis qiymətləndirməsini riskə görə planlaşdırın
Kritik aktivlər, yeni zəifliklər, şübhəli xəbərdarlıqlar və mühit dəyişikliyi üçün qiymətləndirmə vaxtını müəyyən edin. Hər təşkilat üçün vahid həftəlik interval təyin etmək əvəzinə, riskə və mövcud resursa əsasən əhatəni və təkrarlanmanı seçin.
Prosedurları və məşqləri sənədləşdirin
Xəbərdarlığın yoxlanması, sübutların saxlanması, eskalasiya və cavab məsuliyyətini yazılı qaydada bölüşdürün. Komanda üzvləri və əməliyyat tərəfdaşları ilə hadisə ssenarilərini məşq edin, boşluqları və məsul şəxsləri qeydə alın.
Mərhələləri və etibarlı hesab fəaliyyətini əlaqələndirin
Ayrı-ayrılıqda adi görünən kəşfiyyat, proseslərin başladılması, uzaqdan giriş və fayl əməliyyatlarını ardıcıllıq kimi yoxlayın. Başqa cihazdan, qeyri-adi vaxtda və ya yeni resursa gözlənilməz qanuni hesab girişi yoxlama səbəbidir, özlüyündə sübut deyil. Hesabı, prosesi, cihazı və şəbəkə kontekstini məhsul telemetriyası və mövcud digər sübutlarla tutuşdurun.
Cavab, təcrid və bərpa
Təsdiqlənmiş və ya yüksək riskli hadisədə insident rəhbəri zərərin dərhal məhdudlaşdırılmasını, sübutların qorunmasını və araşdırmanı əlaqələndirməlidir. EDR xəbərdarlıq yarada, prosesi dayandıra və ya cihazın şəbəkə bağlantısını məhdudlaşdıra bilər; avtomatik və təsdiq tələb edən addımları əvvəlcədən müəyyən edin. Dağıdıcı təmizləmədən əvvəl əlaqəli sübutları saxlayın, əhatəni, ilkin giriş və davamlılıq səbəblərini araşdırın. Təhlükəni aradan qaldırdıqdan sonra lazım olan bərpanı yoxlayın və yalnız nəzarətli şəkildə yenidən qoşun. İzolyasiya, əlaqəsiz rejim və yenidən başlatma davranışını hadisədən əvvəl sınaqdan keçirin; hər xəbərdarlıq ehtiyat nüsxədən bərpa tələb etmir.
EDR seçimi üçün yoxlama siyahısı
Təklifləri müqayisə edərkən şifrələmə və çoxfaktorlu autentifikasiya, idarə olunan cihazların sayı artdıqda miqyaslanma, saxlanılan telemetriyanın həcmi və müddəti, axtarış və ixrac imkanları, xəbərdarlıqların araşdırılması, cavab səlahiyyətləri, bulud və oflayn davranış, dəstəklənən sistemlər, inteqrasiyalar, dəstək və ümumi xərc barədə konkret suallar verin. Avtomatlaşdırmanın hansı konfiqurasiya və gündəlik işləri sadələşdirdiyini dəqiqləşdirin. Həmçinin komandanın xəbərdarlıqları təhlil etmək, səhv pozitivləri yoxlamaq və insidentə cavab vermək üçün vaxtı və bacarığı olub-olmadığını qiymətləndirin.
Aşkarlama siqnallarını birləşdirin
Müxtəlif nəzarətlər fərqli fəaliyyətləri görür. Şəbəkə müdaxiləsinin aşkarlanması sistemi (IDS) şəbəkə trafikindəki şübhəli nümunələri izləyə bilər; SIEM müxtəlif sistemlərin jurnallarını bir yerə toplayıb əlaqələndirir; EDR isə cihazdakı proses və sistem hadisələrini göstərir. E-poçt və veb nəzarətləri ilkin keçidləri və faylları araşdırmağa kömək edir. Bir mənbədə görünməyən fəaliyyət başqa mənbədəki istifadəçi, cihaz və zaman məlumatı ilə aydınlaşa bilər. Bu alətlərin inteqrasiyası və saxladığı məlumat məhsula və quruluşa görə dəyişir.
Şəbəkə və giriş siqnalları
Qeyri-adi bağlantı, giriş vaxtı və ya böyük məlumat ötürülməsi araşdırma üçün siqnal ola bilər. Tək bir anomaliya zərərli fəaliyyəti sübut etmir; normal iş nümunələri və digər hadisələrlə müqayisə edin.
Jurnallar və zaman xətti
SIEM və digər mərkəzi jurnal vasitələri mənbələri birləşdirərək ardıcıllıq qurmağa kömək edir. Hansı mənbələrin qoşulduğunu, saatların sinxron olub-olmadığını və məlumatın nə qədər saxlandığını yoxlayın.
Son nöqtə davranışı
EDR proses zəncirini, fayl dəyişikliklərini, reyestr yeniləmələrini və şəbəkə əlaqələrini əlaqələndirə bilər. Görünürlük agentin əhatəsindən, platformadan, siyasətdən və şəbəkədən kənar vaxtda toplanan məlumatdan asılıdır.
Hadisə növləri və kontekst
Zərərli proqram və ransomware, fişinq, daxili hesabın qeyri-adi istifadəsi və uzunmüddətli hədəfli fəaliyyət fərqli mənbələrdən görünə bilər. E-poçt, identiklik, cihaz və şəbəkə hadisələrini eyni zaman xəttində araşdırın; hər siqnalı təsdiqlənmiş hadisə kimi qəbul etməyin.
Məlumatın hərəkətinə ayrıca nəzarət edin
Ransomware və məlumat çıxarılması şübhəsində son nöqtə telemetriyası hansı prosesin, istifadəçinin və cihazın hadisədə iştirak etdiyini araşdırmağa kömək edə bilər. Giriş icazələri və DLP qaydaları məlumatın hərəkətini məhdudlaşdıra bilər. Hər iki siqnalı zaman xəttində tutuşdurun; EDR telemetriyasının DLP siyasətini əvəz etdiyini və ya bütün ötürmələri gördüyünü fərz etməyin.
Model siqnal verir, analitik yoxlayır
Maşın öyrənməsi modeli seçilmiş telemetriyada şübhəli nümunələri təsnif edib araşdırma üçün xəbərdarlıq yarada bilər. Nəticə öyrədici məlumatların əhatəsindən, etiketlərin keyfiyyətindən, seçilmiş meyarlardan və mühitdəki dəyişikliklərdən asılıdır. Model əvvəl görmədiyi hücum formasını tanımaya bilər; qanuni inzibati fəaliyyət də yanlış pozitiv yarada bilər, nadir və ya natamam nümunələr isə buraxıla bilər. Xəbərdarlıqları işə uyğunlaşdırın, səhv pozitiv və səhv neqativləri izləyin, qərarı hadisə konteksti ilə yoxlayan analitikə verin. Modeli mühitinizi təmsil edən telemetriya ilə sınaqdan keçirin və analitik təsdiqindən sonra doğru və yanlış pozitiv, eləcə də doğru və yanlış neqativ nəticələri müqayisə edin.
Doğru pozitiv
Araşdırma təhlükəsizlik xəbərdarlığının real zərərli fəaliyyətə uyğun olduğunu təsdiqləyir. Təsdiqlənmiş sübutu, əhatəni və görülən cavabı qeyd edin.
Yanlış pozitiv
Xəbərdarlıq yaranıb, araşdırma isə fəaliyyəti qanuni və ya zərərsiz kimi təsdiqləyib. Səbəbi və qərarı qeyd edin; təkrarlanan qanuni işi siyasət və ya qayda sazlaması ilə nəzərdən keçirin.
Doğru neqativ
Sistem qanuni fəaliyyəti təhlükə kimi işarələməyib. Nəticəni yalnız qiymətləndirmə zamanı yoxlanmış və lazımi məlumatla əhatə olunan hadisələr üzrə hesablayın.
Yanlış neqativ
Zərərli fəaliyyət baş verib, lakin xəbərdarlıq yaranmayıb. Buraxılmış fəaliyyəti təsdiq edən sübutları qeyd edin; mövcud telemetriyada və qaydalarda boşluqları yoxlayın, nəticəyə uyğun təkmilləşdirməni sınaqdan keçirin.
Faylsız üsullar üçün Windows telemetriyası və nəzarətləri
Faylsız hücum ayrıca icra olunan fayl olmadan yaddaşdan və ya legitim alətlərdən yararlana bilər, amma “faylsız” hücumlar da yaddaş, jurnal, reyestr və tapşırıq planlayıcısında iz qoya bilər. PowerShell, Windows Management Instrumentation (WMI), reyestrdə davamlılıq, planlaşdırılmış tapşırıqlar və VBA makroları ayrı-ayrılıqda zərərli deyil; onların gözlənilməyən istifadəçi, proses, vaxt və şəbəkə kontekstində işləməsini araşdırın.
PowerShell və VBA
Gözlənilməz skript və makro icrasını proses zənciri və istifadəçi hərəkətləri ilə tutuşdurun. Script Block Logging aktiv edilərsə, PowerShell bloklarının məzmunu Windows hadisə jurnallarına yazıla bilər; kanal PowerShell versiyasından asılıdır. Həssas məzmun üçün giriş nəzarətini və qorunan jurnal saxlanmasını planlaşdırın.
WMI, reyestr və tapşırıqlar
Aktiv audit mənbələri və saxlanma müddəti imkan verirsə, WMI fəaliyyəti, reyestrdə yeni avtomatik başlanğıc nöqtələri, planlaşdırılmış tapşırıqların yaradılması və dəyişdirilməsi üzrə qeydləri saxlayın. Gözlənilməz dəyişiklikləri təsdiqlənmiş inzibatçı işi və hesab konteksti ilə tutuşdurun.
Tətbiqə nəzarət siyasətini əvvəlcə sınaqdan keçirin
Windows tətbiqə nəzarət siyasəti PowerShell ExecutionPolicy-dən fərqlidir; ExecutionPolicy təhlükəsizlik sərhədi deyil. Dəstəklənən audit rejimini əvvəlcə sınaqdan keçirin, skript və modullara təsirini yoxlayın, sonra tətbiqi mərhələli edin. Audit davranışı PowerShell və Windows versiyalarından asılıdır; PowerShell üçün sənədləşdirilmiş bu davranış 7.4 versiyasından başlayır. Qanuni inzibatçı işinin bloklanmadığını təsdiqləyin.
Tez-tez verilən suallar
EDR aşkarlama, araşdırma və cavab funksiyalarını birləşdirir; real əhatə və nəticə məhsuldan, telemetriyadan və əməliyyat prosesindən asılıdır.
EDR zərərli proqramı aşkarlaya bilərmi?
Bəli, EDR son nöqtə hadisələrində zərərli fəaliyyət əlamətlərini axtara və araşdırma üçün kontekst təqdim edə bilər. Aşkarlama imzalar, qaydalar, davranış təhlili və digər mənbələrdən istifadə edə bilər; əhatə məhsula və konfiqurasiyaya görə dəyişir.
EDR ransomware-i aşkarlaya bilərmi?
EDR kütləvi fayl dəyişiklikləri və şübhəli proses davranışını aşkarlaya bilər. Nəyin görünməsi telemetriya, qaydalar və konfiqurasiyadan asılıdır. Cavab sürəti aşkarlanmış hadisənin təsirini dəyişə bilər, amma nəyin müşahidə oluna bildiyini müəyyən etmir.
EDR zərərli proqram əleyhinə proqramdan nə ilə fərqlənir?
Zərərli proqram əleyhinə vasitələr faylları skan edib təhlükələri karantinə ala və ya silə bilər. EDR isə son nöqtədəki əlaqəli hadisələri araşdırmaq, xəbərdarlıqları idarə etmək və cavab tədbirlərini koordinasiya etmək üçün əlavə telemetriya və iş axınları təqdim edə bilər. Bəzi məhsullarda funksiyalar üst-üstə düşür; hər EDR-in antivirusu əvəz etdiyini fərz etməyin.
Zərərli proqram necə aşkarlanır?
İmza əsaslı aşkarlama faylı məlum nümunə ilə müqayisə edir. Davranış əsaslı aşkarlama isə prosesin və sistem hadisələrinin kontekstini araşdırır. EDR bu nəticələri birləşdirə bilər, sonra analitik xəbərdarlığı yoxlayıb uyğun cavab seçir.