Əsas fikir
Bu vasitələr fərqli qatlarda işləyir. Antivirus məlum zərərli faylları yoxlaya və bloklaya bilər; EPP son nöqtə nəzarətlərini mərkəzləşdirir; EDR hadisələri əlaqələndirib araşdırma və cavaba kömək edir; firewall isə qaydalara əsasən şəbəkə trafikini idarə edir. Əhatəni, inteqrasiyanı və cavab məsuliyyətini təchizatçı ilə ssenari üzrə yoxlayın.
Əvvəlcə əhatəni müəyyən edin
Son nöqtə istifadəçinin və ya xidmətin şəbəkəyə qoşulduğu cihazdır: işçi kompüteri, server, telefon, planşet və bəzən printer, POS və ya IoT avadanlığı. Həlləri müqayisə etməzdən əvvəl hansı cihazların idarə olunduğunu, kimin onlara sahib olduğunu, hansı məlumatlara çıxış etdiyini və şəbəkəyə nə vaxt qoşulduğunu inventarlaşdırın. Tək kompüter üçün antivirusun quraşdırılması ilə bütün təşkilatın cihazlarının mərkəzləşdirilmiş idarəsi eyni ehtiyac deyil.
İstifadəçi cihazları
Noutbuk, masaüstü kompüter, telefon və planşetləri sahib, əməliyyat sistemi, istifadə forması və iş məlumatlarına çıxış üzrə qeyd edin.
Server və xidmətlər
Serverlərin və bulud iş yükünün hansı agent, siyasət və monitorinq ilə əhatə olunduğunu ayrıca yoxlayın; bütün son nöqtə alətləri eyni platformaları dəstəkləmir.
Paylaşılan və IoT cihazları
Printer, ağıllı saat, tibbi və sənaye cihazı kimi avadanlıqların yenilənmə və idarəetmə imkanlarını, eləcə də şəbəkədəki yerini müəyyən edin.
Şəbəkəyə giriş nöqtələrini tapın
Uzaq, şəxsi və qonaq cihazlarının, simsiz giriş nöqtələrinin və IoT avadanlığının şəbəkəyə hansı yolla qoşulduğunu qeyd edin. Mövcud nəzarətlərdəki boşluqları sınaqdan keçirin və hər cihaz qrupu üçün insident cavabı ilə ehtiyat nüsxə məsuliyyətini sənədləşdirin.
Alətlərin rolu nədir?
Məhsul adları və paketlər fərqli ola bilər. Təklifdə hər komponentin hansı cihazlarda işlədiyini, hansı telemetriya topladığını və hansı komandaya xəbər verdiyini dəqiqləşdirin. Cədvəl əsas funksional fərqi göstərir; konkret imkanları konfiqurasiya və lisenziya üzrə yoxlamaq lazımdır.
| Vasitə | Əsas işi | Yoxlanmalı məqam |
|---|---|---|
| Antivirus | Fayl və prosesləri məlum imzalar, reputasiya və bəzi məhsullarda davranış qaydaları ilə yoxlayır; şübhəli faylı bloklaya və ya karantinə ala bilər. | Tək cihaz, yoxsa mərkəzi idarə? Hansı sistemlər və aşkarlama üsulları dəstəklənir? |
| EPP | Mərkəzləşdirilmiş son nöqtə müdafiə platformasıdır; antivirus, cihazdakı firewall, veb və e-poçt filtri, tətbiq və cihaz nəzarəti kimi komponentləri birləşdirə bilər. | Hansı modullar paketə daxildir, hansı ayrıca lisenziyalıdır və konsol hansı siyasətləri tətbiq edir? |
| EDR | Son nöqtə hadisələrini toplayıb əlaqələndirir; şübhəli fəaliyyəti araşdırmağa, əhatəni müəyyən etməyə və konfiqurasiyadan asılı olaraq cavab verməyə kömək edir. | Telemetriya və saxlanma müddəti, axtarış imkanları, dəstəklənən sistemlər, təcrid üsulu və analitik tələbini yoxlayın. |
| AEP | Bəzi istehsalçılar inteqrasiya olunmuş son nöqtə nəzarətləri üçün Advanced Endpoint Protection (AEP) adından istifadə edir. Termin vahid texniki əhatəni müəyyən etmir. | Daxil olan modulları, lisenziyanı, agent və platforma əhatəsini, cavab və bərpa funksiyalarını ayrıca yoxlayın. |
| Firewall | Şəbəkə və ya cihaz səviyyəsində daxil olan və çıxan trafiki qaydalara əsasən buraxır və ya məhdudlaşdırır. | Şəbəkə sərhədindəki firewall-u host firewall-dan ayırın və trafik qaydalarını kimin idarə etdiyini müəyyən edin. |
| Tətbiq izolyasiyası və sandbox | Riskli tətbiq və ya fayl üçün ayrıca icra mühiti yarada bilər; bu yanaşma EDR hadisə analitikası ilə eyni funksiya deyil. | Hansı tətbiqlər əhatə olunur, izolə edilmiş mühit şəbəkəyə və məlumatlara necə çıxır, nəticələr necə ötürülür? |
| Tətbiqlərin icazə siyahısı | Yalnız müəyyən edilmiş tətbiqlərə və ya komponentlərə icazə verən qaydalar tətbiq edə bilər; qayda əhatəsi və istisnalar ayrıca idarə olunur. | İcazə və bloklama prioritetini, yeniləmə təsirini, istisnanın sahibini, təsdiqini və bitmə tarixini sınaqdan keçirin. |
| Mobil cihaz idarəetməsi və MTD | MDM mobil cihazın siyasət və parametrlərini idarə edə bilər; mobil təhlükə müdafiəsi (MTD) isə cihaz və bağlantı siqnallarını izləyə bilər. Hər imkanın məhsula daxil olub-olmadığını ayrıca yoxlayın. | Siyasət paylanmasını, itmiş cihazın kilidlənməsi və ya silinməsini, korporativ şəbəkə daxilində və xaricində monitorinqi, dəstəklənən OS-i və lisenziyanı ayrıca yoxlayın. |
| Host müdaxiləsinin qarşısının alınması (HIPS) | Host fəaliyyətini qaydalara görə məhdudlaşdırır; EDR araşdırması ilə birlikdə istifadə oluna bilər. | Tətbiq uyğunluğu, xəbərdarlıq və bloklama rejimləri, istisnalar və qaydaların sahibi necə müəyyən edilir? |
| Fayl bütövlüyünün monitorinqi (FIM) | Seçilmiş fayl və konfiqurasiyaların baza vəziyyətindən dəyişməsini izləyir. | Hansı obyektlər izlənir, dəyişiklik kimə aid edilir və planlı yeniləmələr necə fərqləndirilir? |
Birlikdə necə işləyirlər?
Firewall trafikə baxır, EPP cihazdakı ilkin müdafiə siyasətlərini mərkəzləşdirə bilər, antivirus fayl və prosesləri yoxlayır, EDR isə əlaqəli hadisələri sonradan araşdırmaq üçün görünürlük verir. Bir məhsul bir neçə funksiyanı birləşdirə bilər, amma adlar funksional əhatəni sübut etmir. Hadisə zamanı xəbərdarlığı kimin araşdıracağı, cihazı kimin təcrid edəcəyi, sübutu kimin saxlayacağı və bərpanı kimin təsdiqləyəcəyi əvvəlcədən razılaşdırılmalıdır.
Məlum fayl təhlükəsi
Antivirus imza və reputasiya uyğunluğu ilə faylı bloklaya bilər; xəbərdarlıq və karantin siyasətinin mərkəzdən idarə olunduğunu təsdiqləyin.
Şübhəli davranış
EDR prosesi, istifadəçi kontekstini, fayl və sistem dəyişikliklərini əlaqələndirərək analitikə hadisə ardıcıllığını araşdırmağa kömək edə bilər.
Şəbəkə bağlantısı
Firewall trafik qaydasını tətbiq edir. EDR isə uyğun telemetriya mövcud olduqda cihazdakı prosesi və şəbəkə hadisəsini araşdırma üçün əlaqələndirə bilər.
İdentiklik, e-poçt və bulud siqnalları
EDR cihaz hadisələrini göstərir; identiklik, e-poçt və bulud jurnalları isə hesab, məktub və xidmət kontekstini əlavə edə bilər. XDR və ya SIEM inteqrasiyasının hansı mənbələri qəbul etdiyini və əlaqələndirmənin hansı paketdə olduğunu yoxlayın.
Məlumat hərəkəti və şifrələmə
DLP məlumatın siyasətə uyğun paylaşılmasını və ötürülməsini izləyə bilər; şifrələmə isə məlumatın məzmununu qorumağa kömək edir. Tam disk şifrələməsini itmiş cihazdakı məlumat üçün, fayl səviyyəli şifrələməni isə fayl etibarsız kanalla ötürülərkən qoruma ehtiyacı üçün qiymətləndirin. Açarların bərpasını və bu funksiyaların EDR-dən ayrı olub-olmadığını yoxlayın.
Tamamlayıcı qatların sərhədini müəyyən edin
Veb filtrləmə, brauzer izoləetməsi, e-poçt şlüzü, şəbəkəyə girişə nəzarət, bulud nəzarətləri, IoT/OT görünürlüğü, ehtiyat nüsxə və e-poçt sərhədində fayl sanitizasiyası endpoint EDR ilə eyni funksiya deyil. Hər birinin harada işlədiyini, hansı məhsul və lisenziyaya daxil olduğunu və EDR/SIEM ilə hansı məlumatı paylaşdığını xəritələyin.
Arxitekturanı təşkilatınıza uyğunlaşdırın
Hər təşkilata eyni vasitələr dəsti lazım deyil. Yenilənən antivirus və firewall siyasəti kiçik cihaz parkının müdafiəsinin bir hissəsi ola bilər, lakin əlavə tədbirlərə ehtiyacı təkcə cihazların sayı deyil, risk və məlumatın həssaslığı müəyyən edir. Çoxsaylı, uzaq və müxtəlif sistemli cihazlar mərkəzi idarəetmə, inventar və uyğun siyasət tələb edir. EDR isə hadisələri araşdıracaq və cavab verəcək məsul komanda və proses olduqda daha faydalıdır. Mövcud təhlükəsizlik vasitələrinin qarşılıqlı təsirini də yoxlayın: iki agent, filtr və ya karantin siyasəti bir-birinə mane ola bilər.
Təchizatçı və məhsulu yoxlamaq üçün addımlar
Satış təqdimatında ümumi xüsusiyyət adlarını deyil, sizin cihazlarınızda baş verən konkret ssenarini yoxlayın. İmkan, lisenziya, inteqrasiya və əməliyyat məsuliyyətini yazılı şəkildə dəqiqləşdirin.
Əhatəni və agentləri sadalayın
Windows, macOS, Linux, mobil, server və idarə olunmayan IoT cihazları üzrə dəstəyi, agent və konsol tələblərini ayrıca soruşun.
Telemetriyanı və axtarışı sınayın
Hansı proses, fayl, giriş, sistem və şəbəkə hadisələri saxlanır? Məlumat nə qədər qalır, ixrac edilir və bütün cihazlar üzrə sorğulana bilirmi?
Uzaq idarəetmə və avtomatlaşdırmanı yoxlayın
RMM, xəbərdarlıq marşrutlaşdırması, təcrid, istisnalar və avtomatik tədbirləri sınaqdan keçirin; hər addımın audit jurnalında görünməsini yoxlayın.
Komanda yükünü və xərci hesablayın
Lisenziya ilə yanaşı tətbiqetmə, saxlama, inteqrasiya, təlim, yanlış xəbərdarlıqların araşdırılması və işdənkənar cavab üçün tələb olunan resursları hesablayın.
İcazə və bloklama siyasətlərini sınaqdan keçirin
Təsdiqlənmiş tətbiqin yanlış bloklanması və məlum zərərli faylın bloklanması ssenarilərini yoxlayın. İcazə siyahısının əhatəsini, bloklama qaydasının prioritetini, istisnaların təsdiqini, sahibini və bitmə tarixini görün; bütün dəyişikliklərin audit jurnalında qalmasını təsdiqləyin.
Konfiqurasiya və resurs təsirini ölçün
Təmsilçi cihaz qrupunda pilot aparın: agentlərin bir-biri ilə uyğunluğunu, tətbiqetmə vaxtını, siyasətin qurulması və saxlanması üçün tələb olunan işi, həmçinin CPU, yaddaş və disk istifadəsini ölçün. İş tətbiqlərində yanlış xəbərdarlıq və performans təsirini izləyin; istisnaları səbəb və sahib ilə sənədləşdirin.
Ssenari ilə qəbul testi aparın
Sınaq xəbərdarlığı yaradın, onu araşdırın, cihazı təcrid edin, qeydləri ixrac edin və cihazın bağlantısını bərpa edin. Nəticədə nəyi məhsulun, nəyi komandanın etdiyini təsdiqləyin.
Uzaq və qeyri-ənənəvi cihazları ayrıca yoxlayın
Mobil, uzaq, bulud, OT və IoT cihazlarının inventara daxil olub-olmadığını, hansı məlumatı göndərdiyini və hansı siyasətin tətbiq edildiyini təsdiqləyin. Cihazı və protokolu təchizatçının açıq dəstək siyahısı ilə tutuşdurun.
İdarəetmə, siyasət və EPP modullarını xəritələyin
İmza əsaslı zərərli proqram müdafiəsi, zəiflikdən istifadəyə və giriş məlumatlarının oğurlanmasına qarşı tədbirlər, veb filtrləmə, istifadəçi və cihaz siyasətləri, tətbiq və USB qaydaları, DLP, şifrələmə, zəifliklərin yoxlanması və yeniləmə planlaması, audit izi, xəbərdarlıq, istisna idarəsi və insidentin nəticələrini aradan qaldıran funksiyalardan hansının daxil olduğunu yoxlayın. Kəşfiyyat mənbəyinin əhatəsini və yenilənmə vaxtını da soruşun. Ayrı-ayrı tətbiqlər üçün dəqiq qaydaları, əlaqəli cihazlar üzrə kök səbəb araşdırmasını və park böyüdükdə miqyaslanmanı nümayiş etdirməyi istəyin. Dəyişikliklərin geri qaytarılması, prosesin dayandırılması və ya hostun təcridi kimi tədbirləri sınaqdan keçirin; bunların standart, avtomatik və ya lisenziyaya daxil olduğunu fərz etməyin.
Bulud, server və oflayn davranışı yoxlayın
Server, virtual, mobil, OT/IoT və bulud iş yüklərinin dəstəyini platforma və lisenziya üzrə yoxlayın. Uzaq cihazlara siyasət və yeniləmələrin necə çatdığını, cihaz ayrıldıqda hansı siyasətin davam etdiyini, bağlantı qayıdanda telemetriya və əmrlərin necə işlədiyini nümayiş etdirməyi istəyin. API/SIEM inteqrasiyasını və bir neçə agenti birləşdirmə iddiasını pilotda ölçün.
Konsol və hostinq məsuliyyətini dəqiqləşdirin
Konsolda audit izi, xəbərdarlıq, istisna hesabatı, siyasət dəyişikliyi və kütləvi yeniləmələri kimin idarə etdiyini göstərin. Telemetriya və xəbərdarlıqları kimin izlədiyini, hostinq və məlumat saxlanmasının yerini və müddətini, cihaz oflayn olanda siyasətin necə işlədiyini, lisenziyanın əhatəsini və təhlükəsizlik monitorinqinin tətbiq sağlamlığı monitorinqindən necə ayrıldığını yazılı dəqiqləşdirin.
Bərpa və e-poçt sərhədini sınaqdan keçirin
Ehtiyat nüsxənin tezliyini, metadata üzrə axtarışı, bərpa icazələrini və istifadəçinin öz faylını bərpa edib-etmədiyini yoxlayın; bərpanı sınaqdan keçirin. E-poçtda fayl sanitizasiyasının hansı sərhəddə və hansı fayl növləri üçün işlədiyini, şəbəkə və bulud nəzarətləri ilə inteqrasiyanı ayrıca göstərin. Bunları endpoint funksiyası və ya avtomatik bərpa kimi qəbul etməyin.
Məhsul ailələrinə nümunələr
Bu məhsullar cihazların müdafiəsi, araşdırma və idarəetməyə fərqli yanaşmalar təqdim edir. Seçimi cihaz parkınız, analitiklərin iş prosesi və tələb olunan inteqrasiyalar əsasında qurun.
Xcitium
Xcitium platformasında antivirus, VirusScope davranış analizi, EDR, host səviyyəsində müdaxilənin qarşısının alınması, firewall və son nöqtə idarəetməsi üçün imkanlar təqdim olunur. Fayl analizi, SIEM inteqrasiyası, hücum zəncirinin və proses ağacının görünüşü, hadisə axtarışı və təhdid axtarışını təklif olunan paketdə nümayiş etdirməyi istəyin. Cari paket adlarını, platforma dəstəyini və lisenziyaya daxil olan modulları ayrıca təsdiqləyin.
Symantec Endpoint Security Complete
Vahid agent və idarəetmə konsolu hücum səthinin azaldılması, profilaktik nəzarətlər, EDR, Threat Hunter və hücumçunu aldatma (deception) funksiyalarını birləşdirir. Təklifdə platforma, yerləşdirmə variantı və inteqrasiya əhatəsini yoxlayın.
Trellix Endpoint Security (HX)
Trellix Endpoint Security (HX) əvvəlki FireEye Endpoint Security ailəsi ilə əlaqəli məhsuldur. Xəbərdarlıqlar, cihazda araşdırma, Enterprise Search və məlumat toplama imkanları var. Axtarış üçün tələb olunan agent versiyası, əməliyyat sistemi, rol və lisenziyanı yoxlayın.
Endpoint qorunma xidməti antivirusdan nə ilə fərqlənir?
Endpoint qorunma xidməti bir mərkəzdə bir neçə son nöqtə nəzarətini birləşdirə bilər; bəzi təkliflərə mütəxəssis monitorinqi və insident xidməti də daxil olur. “Xidmət” sözünün məhsul platformasını, idarə olunan əməliyyatı, yoxsa hər ikisini ifadə etdiyini dəqiqləşdirin. Aşağıdakı müqayisə tipik sualları göstərir, konkret əhatə isə təklif və lisenziyadan asılıdır.
| Müqayisə | Antivirus | Endpoint qorunma xidməti/platforması |
|---|---|---|
| Aşkarlama | Məlum imza və fayl nümunələri ilə yanaşı, bəzi məhsullarda əlavə davranış yoxlaması. | İmza, davranış, reputasiya və telemetriyanın hansı kombinasiyasının daxil olduğunu soruşun. |
| Əhatə | Bir cihazda skan və ya mərkəzdən idarə olunan cihaz parkı; konkret platforma dəstəyi yoxlanmalıdır. | Windows, macOS, Linux, server, mobil və bulud iş yüklərindən hansılar dəstəklənir? |
| Görünürlük | Cihazdakı tapıntı və jurnallar; mərkəzi hesabatın olub-olmadığını yoxlayın. | Konsolun hansı cihaz, istifadəçi, proses və şəbəkə hadisələrini əlaqələndirdiyini göstərin. |
| Cavab | Faylı bloklama, karantin və təmizləmə funksiyaları məhsula və siyasətə görə dəyişir. | Təcrid, araşdırma, insidentin nəticələrinin aradan qaldırılması və bərpa funksiyalarını; hansının avtomatik olduğunu yoxlayın. |
| İcra modeli | Cihazda agent və lokal siyasət; yeniləmə və sazlama məsuliyyətini müəyyən edin. | Agent, mərkəzi konsol və ya idarə olunan xidmət ola bilər; quraşdırma, monitorinq və cavab rolunu dəqiqləşdirin. |
| Hesabat və inteqrasiya | Yeniləmə vəziyyəti və aşkarlama jurnalı; ixrac və SIEM inteqrasiyasını yoxlayın. | Saxlanma, ixrac, hesabat rolları, SIEM/SOAR və identiklik inteqrasiyalarını, habelə əlavə ödənişləri yoxlayın. |
Tez-tez verilən suallar
Seçim zamanı ən çox verilən suallar.
EDR hansı təhdidləri aşkar edə bilər?
EDR proses, fayl, sistem və şəbəkə hadisələrində şübhəli nümunələri, məlum indikatorları və bəzi məhsullarda qeyri-adi davranışı aşkar edə bilər. Nəticə toplanan telemetriyadan, qaydalardan, siyasətdən və dəstəklənən cihazlardan asılıdır; bütün təhlükələrə zəmanətli aşkarlama kimi qəbul etməyin.
EDR hansı məlumatları toplayır?
Bu, agentə və siyasətə görə dəyişir. Proseslər, fayl və sistem dəyişiklikləri, istifadəçi girişləri və şəbəkə bağlantılarının ünvanları toplana bilər; səhifə və ya ötürülən məlumatın məzmununun toplandığını fərz etməyin. Məhsulun telemetriya siyahısını, saxlama müddətini, ixracı, məxfilik qaydasını və rol əsaslı çıxışı yoxlayın.
EDR hücumun qarşısını ala bilərmi?
Bəzi EDR konfiqurasiyaları aşkarlanan fəaliyyəti bloklaya, prosesi dayandıra və ya cihazı təcrid edə bilər; bu tədbirlər zərəri məhdudlaşdıra bilər. İmkan siyasət və müdaxilə vaxtından asılıdır, bütün hücumların qarşısını almağa zəmanət vermir. EDR-i yeniləmə, giriş nəzarəti, firewall və bərpa planı ilə birlikdə qiymətləndirin.
EDR firewall-u əvəz edirmi?
Xeyr. Firewall trafik qaydalarını tətbiq edir; EDR cihaz hadisələrini izləyir və araşdırma ilə cavabı dəstəkləyir. Bəzi platformalar hər iki funksiyanı ehtiva edə bilər, lakin hər funksiyanın əhatəsini ayrıca yoxlamaq lazımdır.
EDR varkən antivirus saxlamaq lazımdırmı?
EDR paketində antivirus modulu ola bilər, amma bu, bütün EDR-lər üçün doğru deyil. Mövcud antivirusu çıxarmazdan əvvəl EDR təklifinin fayl skanı, bloklama, karantin və idarəetmə funksiyalarını, lisenziyanı və istehsalçıların uyğunluq qaydasını yoxlayın.
EDR serverləri qoruya bilərmi?
Bəzi məhsullar serverləri dəstəkləyir, digərləri isə ayrıca agent, lisenziya və siyasət tələb edir. Windows, macOS, Linux və BSD versiyalarının dəstəyini, iş yükünü, lisenziyanı və telemetriyanı sınaqdan keçirin.
Kiçik komanda EDR-dən istifadə edə bilərmi?
Bəli, əgər xəbərdarlıqları yoxlamaq və təcrid kimi tədbirləri idarə etmək üçün səlahiyyətli şəxs və ya xidmət mövcuddursa. Bu işin vaxtını və növbətçilik ehtiyacını əvvəlcədən planlaşdırın.
Hansı cihazlar son nöqtə sayılır?
İş kompüterləri, serverlər, telefonlar, planşetlər, şəbəkəyə qoşulmuş printerlər və POS cihazları son nöqtə ola bilər. OT, IoT və bulud iş yüklərini inventara əlavə edin, sonra təchizatçının konkret cihaz və sistemləri əhatə etdiyini yoxlayın.
Kiçik biznesə son nöqtə xidməti lazımdırmı?
Əhatəni cihaz sayına, uzaq girişə, saxlanılan məlumatlara və xəbərdarlıqlara cavab verəcək şəxsin vaxtına görə seçin. İdarə olunan xidmət təklif edilirsə, xəbərdarlıqları kimin yoxladığını və cavab tədbirlərinin kimə aid olduğunu yazılı şəkildə dəqiqləşdirin.
EDR imkanlarını niyə XDR ilə genişləndirirlər?
EDR son nöqtə hadisələrini göstərir; XDR müxtəlif məhsul və ya xidmətlərdən endpoint, şəbəkə, e-poçt və bulud siqnallarını əlaqələndirə bilər. Təklif olunan XDR-in hansı mənbələrə qoşulduğunu və lisenziya ilə analitik işinin nələri əhatə etdiyini yoxlayın.
Davranış əsaslı aşkarlama AI istifadə edirmi?
Bəzi məhsullar davranış qaydaları və ya maşın öyrənməsi modelləri tətbiq edir, digərləri isə fərqli yanaşır. Toplanan telemetriyanı, xəbərdarlıqların necə təsdiqləndiyini və analitikin qərarı necə yoxladığını soruşun.
OT və IoT cihazları son nöqtə müdafiəsinə daxildirmi?
Onları inventarda və şəbəkə xəritəsində nəzərə alın, lakin agentin, protokolun və siyasətin həmin modeldə dəstəkləndiyini ayrıca yoxlayın. Agent quraşdırılmayan cihaz üçün segmentasiya, giriş məhdudiyyəti və şəbəkə monitorinqini qiymətləndirin.