Əsas fikir
EDR mərkəzində endpoint telemetriyası dayanır: cihaz hadisələri toplanır, şübhəli fəaliyyət araşdırılır və cavab tədbirləri əlaqələndirilir. Qiymətləndirmədə əhatəni, saxlanmanı, avtomatlaşdırmanı və inteqrasiyaları ayrıca nəzərdən keçirin.
EDR nədir və nələri əhatə edir?
EDR — Endpoint Detection and Response, yəni son nöqtələrdə təhdidlərin aşkarlanması və onlara cavab verilməsidir. Bu, ayrıca şəbəkə avadanlığı deyil, endpoint təhlükəsizliyi üçün proqram təminatı və imkanlar toplusudur; quraşdırma agent, daxili sensor və ya məhsulun dəstəklədiyi başqa üsulla həyata keçirilə bilər. Endpoint şəbəkəyə qoşulan cihaz və ya sistemdir: noutbuk, masaüstü kompüter, smartfon, planşet, server, bəzi bulud sistemləri və IoT cihazları. Printer, kamera, televizor və sensor kimi şəbəkəli avadanlıq da endpoint ola bilər, lakin bu, onların masaüstü EDR agentini dəstəklədiyi demək deyil. EDR adətən davamlı müşahidə və araşdırma imkanları təqdim edir; ayrıca tələb üzrə skan funksiyası məhsuldan asılıdır. EDR bu mühitdəki hadisələri müşahidə edir, adi olmayan davranışları aşkarlamağa kömək edir və təhlükəsizlik komandası üçün xəbərdarlıq və cavab vasitələri təqdim edə bilər. Analitika dərinliyi, təhlükə kəşfiyyatı inteqrasiyası, cihaz və əməliyyat sistemi dəstəyi məhsuldan və lisenziyadan asılıdır.
Aşkarlamadan araşdırmaya
EDR platforması endpoint hadisələrini qeydə alır və davranış analitikası, qaydalar və ya məlum təhlükə göstəriciləri ilə şübhəli ardıcıllıqları seçir. İmza əsaslı aşkarlama məlum fayl və göstəriciləri tanıya bilər; davranış təhlili şübhəli hərəkət ardıcıllıqlarını və ya adi fəaliyyətdən kənara çıxmaları araşdırır, heuristik qaydalar isə şübhəli kod və ya hərəkət nümunələrini araşdırır. Maşın öyrənməsi böyük həcmdə hadisədə nümunə və prioritetləri müəyyənləşdirməyə kömək edə bilər, lakin nəticənin keyfiyyəti məlumat və konfiqurasiyadan asılıdır. Analitik siqnalı kontekstlə yoxlayır, əlaqəli cihaz və istifadəçi fəaliyyətini araşdırır, hadisənin əhatəsini və təcililiyini qiymətləndirir. Xəbərdarlıqların avtomatik ilkin qiymətləndirilməsi və təhdid axtarışı tətbiq edildikdə, cavab planında hansı siqnalların analitik tərəfindən təsdiqlənəcəyini müəyyən edin. Telemetriya hadisənin əvvəlində və sonrasında nə baş verdiyini görməyə, səbəbi və mümkün yayılmanı araşdırmağa kömək edir. Cybereason əlaqələndirilmiş hücum hekayəsini MalOp adlandırır; SentinelOne-da Storyline ID əlaqəli hadisələr qrupunu tapmağa kömək edən məhsula məxsus identifikatordur. Bu görünüşlərin hansı ilkin qeydləri əhatə etdiyini ayrıca yoxlayın.
Müşahidə edin
Proses, fayl, istifadəçi və şəbəkə fəaliyyətindən endpoint hadisələri toplanır; seçilən telemetriya təşkilatın məqsədinə uyğun olmalıdır.
Şübhəli fəaliyyəti yoxlayın
Analitika və qaydalar araşdırılmalı hadisələri seçir. Məsələn, tətbiqin qeyri-adi xarici əlaqəsi, icazəsiz giriş cəhdi, konfiqurasiya dəyişikliyi və ya qısa müddətdə çoxlu faylın dəyişdirilməsi araşdırma siqnalı ola bilər. Analitik siqnalın kontekstini, əlaqəli hadisələri və mümkün təsiri yoxlayır; görünürlük toplanan telemetriya və qaydalardan asılıdır.
Təsiri məhdudlaşdırın və öyrənin
Cavab siyasətinə əsasən cihazı təcrid etmək, prosesi dayandırmaq və ya faylı karantinə almaq mümkündür. Hadisədən sonra nəticələr qeydə alınır, aşkarlama qaydaları və cavab planı yenidən nəzərdən keçirilir, ehtiyac olduqda analitik və istifadəçi təlimi yenilənir.
Endpoint görünüşü və araşdırma məlumatları
EDR araşdırması proses yaradılması, tətbiq işə salınması, fayl dəyişiklikləri, reyestr əməliyyatları, disk və yaddaş istifadəsi, şəbəkə əlaqələri və DNS sorğularını əhatə edə bilər. Hadisə vaxtı aktiv və dolayı yolla əlaqəli istifadəçi hesabları, inzibati alətlər, arxivlər və çıxarıla bilən daşıyıcı istifadəsi də araşdırmaya kontekst verir. Telemetriya planında bu mənbələri seçin; məlumatın nə qədər saxlandığını, yeni hadisələrin konsolda nə vaxt göründüyünü və hansı qeydlərdə axtarış aparıla bildiyini yerləşdirmədən əvvəl yoxlayın.
Sistem fəaliyyəti
Proseslər, tətbiqlər, fayl və reyestr dəyişiklikləri, sürücü yüklənməsi, disk və yaddaş hadisələri araşdırıla bilər. PowerShell-dən şübhəli istifadə və prosesə kod yeridilməsi də nümunə ssenarilərdir; görünürlük seçilmiş telemetriya və platformadan asılıdır.
Əlaqələr və identiklik
Endpoint-dən görünən daxili və xarici ünvanlar, DNS sorğuları, veb ünvanlara giriş, əlaqələr və əlaqəli hesablar araşdırmaya kömək edir. Şəbəkə sensorları başqa trafik nöqtələrini görə bilər; uzaq, bulud və idarə olunmayan cihazlarda görünüş boşluqları qala bilər.
Alətlər və daşıyıcılar
İnzibati alətlərin istifadəsi, arxiv faylları və çıxarıla bilən media üzrə hadisələr konteksti genişləndirə bilər.
EDR və SIEM: fərqli əhatə, tamamlayıcı rollar
EDR endpoint hadisələrinin təfərrüatına və həmin cihazda aşkarlama və cavaba yönəlir. SIEM isə şəbəkə, server, bulud və tətbiq kimi müxtəlif mənbələrdən qeydləri mərkəzləşdirib normallaşdıra və korrelyasiya edə bilər. Hər iki sistemə ehtiyac məlumat mənbələrinə, audit və saxlanma tələblərinə, komandanın imkanlarına və araşdırma məqsədinə görə müəyyən edilir. Birgə istifadədə endpoint siqnallarını digər infrastruktur hadisələri ilə korrelyasiya etmək üçün inteqrasiyanı konfiqurasiya edin.
| Meyar | EDR | SIEM |
|---|---|---|
| Əsas əhatə | Son nöqtələr və cihaz hadisələri. | Çoxsaylı infrastruktur mənbələri. |
| Əsas iş | Endpoint davranışını araşdırmaq və cavabı dəstəkləmək. | Mənbələr üzrə məlumatı birləşdirmək və əlaqələndirmək. |
| Seçimdə diqqət | Cihazların əhatəsi, agent yerləşdirilməsi, hadisə təfərrüatı və cavab səlahiyyəti. | Log mənbələri, normalizasiya, korrelyasiya, saxlanma və analitik resursları. |
Cavab tədbirləri və yerləşdirmə məhdudiyyətləri
Cavab manual ola, əvvəlcədən təsdiqlənmiş siyasətlə avtomatlaşdırıla və ya hər iki üsulu birləşdirə bilər. Cihazın təcridi, şübhəli prosesin dayandırılması və faylın karantinə alınması mümkün tədbirlərdir; hər biri xidmətə və biznes proseslərinə təsir göstərə bildiyi üçün təsdiq səlahiyyəti, istisnalar və geri qaytarma qaydası əvvəlcədən müəyyən edilməlidir. Agent əsaslı məhsullarda hər dəstəklənən endpoint-ə agent quraşdırılması, yenilənməsi və qorunması planlaşdırılır. Agent quraşdırılmayan cihazlarda agentless müşahidənin hansı telemetriya və cavab tədbirlərini verdiyini ayrıca yoxlayın; inventarda görünən cihaz tam endpoint telemetriyasına malik olmaya bilər. Quraşdırma, resurs sərfi, uyğunluq, dəstəklənən əməliyyat sistemləri və uzaq cihazların qoşulması sınaqdan keçirilməlidir. İdarəetmə və məlumatın saxlanma modelinin bulud, yerli və ya hibrid olduğunu, məlumatın yerləşdiyi yeri və yeniləmələrə kimin cavabdeh olduğunu da dəqiqləşdirin. Kiçik komandalar üçün hadisələri kimin araşdıracağı, cavab siyasətlərinin kim tərəfindən saxlanacağı və hansı məlumatın mərkəzləşdiriləcəyi əsas seçim meyarlarıdır.
EDR-in səkkiz əməliyyat faydası
Səkkiz istiqaməti qiymətləndirmə meyarı kimi istifadə edin: siqnalın aşkarlanması, endpoint görünüşü, cavab, audit qeydləri, idarəetmə, miqyas, analitika və inteqrasiya.
Aşkarlama və cavab
Şübhəli endpoint fəaliyyətinə xəbərdarlıq almaq və təsdiqlənmiş qayda üzrə cihazı təcrid etmək araşdırmaya vaxtında başlamağa kömək edə bilər.
Görünüş və rəqəmsal araşdırma
Hadisə qeydləri və əlaqəli proseslərin görünüşü baş verənləri yenidən qurmağa və mümkün səbəbi tapmağa kömək edir.
Bərpa və riskin azaldılması
Faylı karantinə almaq və ya prosesi dayandırmaq kimi tədbirlər təsiri məhdudlaşdırmağa kömək edə bilər; riskin azalması düzgün qərar və icradan asılıdır.
Auditə hazırlıq
Siyasətdən asılı endpoint fəaliyyəti qeydləri və insident tarixçəsi daxili yoxlamanı və uyğunluq auditini dəstəkləyə bilər; alət özü uyğunluğu təmin etmir.
Mərkəzi idarəetmə və resurs planlaması
Vahid idarəetmə məkanı siyasət və cihazlara baxışı sadələşdirə bilər. Kiçik komandada mobil cihazların inventara daxil olduğunu, hesabatların təsirlənmiş endpoint-ləri və biznes təsirini göstərdiyini, araşdırma və cavab məsuliyyətinin kimdə olduğunu yoxlayın. Büdcədə lisenziya, saxlama, quraşdırma və analitik vaxtını hesablayın.
Miqyaslanma
Yeni endpoint-lər və iş yerləri artdıqca siyasətləri və resursları genişləndirmək mümkündür; əməliyyat sistemi və yerləşdirmə dəstəyi əvvəlcədən yoxlanmalıdır.
Analitika və kontekst
Davranış siqnallarını və təhlükə məlumatını xəbərdarlıqların təhlilinə daxil edin ki, analitiklər tanış olmayan fəaliyyəti kontekstdə qiymətləndirə bilsin.
Təhlükəsizlik sistemləri ilə inteqrasiya
SIEM və SOAR ilə inteqrasiya endpoint hadisələrini digər mənbələrin məlumatları ilə əlaqələndirməyə və cavab tədbirlərini koordinasiya etməyə kömək edə bilər. NDR/XDR sistemləri və təhlükə məlumatı xidmətləri ilə hansı məlumatların mübadilə edilə bildiyini, lazım olan API və bağlantıların mövcudluğunu yoxlayın.
EDR barədə tez-tez verilən suallar
Quraşdırma və cavab planını konkret suallarla yoxlayın: hansı hadisələr görünəcək, kim araşdıracaq, hansı tədbirlər avtomatlaşdırılacaq və hansı sübutlar saxlanacaq?
EDR termini haradan yaranıb?
2013-cü ildə Gartner analitiki Anton Chuvakin endpoint-lərdə şübhəli fəaliyyəti aşkarlayan və araşdıran vasitələr kateqoriyası üçün Endpoint Threat Detection & Response adını təklif etdi. Bu, artıq mövcud olan vasitələr kateqoriyasının adlandırılması idi.
EDR antivirusdan nə ilə fərqlənir?
EDR endpoint telemetriyasını, hadisələrin araşdırılmasını və cavab tədbirlərini birləşdirir. Antivirus zərərli proqramları aşkarlayır və bloklayır; müasir antivirus davranış təhlili, heuristik qaydalar və bulud analitikasından da istifadə edə bilər. İmkanlar qismən üst-üstə düşür, buna görə yerləşdirmə planında hər vasitənin rolunu və birgə işləməsini müəyyən edin.
EDR insidentə cavabı necə dəstəkləyir?
Araşdırma məlumatı, cihazın təcridi və faylın karantinə alınması kimi tədbirlər cavab prosesinə kömək edə bilər. Tədbir səlahiyyəti və təsdiq siyasəti təşkilatda müəyyən olunmalıdır.
Endpoint görünüşü niyə vacibdir?
Əlaqəli prosesləri, faylları, istifadəçiləri və şəbəkə hadisələrini vahid zaman xəttinə gətirmək insident ardıcıllığını aydınlaşdırır.
EDR uyğunluğa zəmanət verirmi?
Xeyr. Qeydlər və hesabatlar audit sübutlarına kömək edə bilər, lakin uyğunluq tətbiq olunan nəzarətlərdən, siyasətlərdən və təşkilatın digər öhdəliklərindən asılıdır.
EDR hibrid mühitə uyğunlaşa bilərmi?
Endpoint inventarını dəstək siyahısı ilə tutuşdurun, sonra real cihazlarda agent quraşdırılmasını, uzaq bağlantını və idarəetmə siyasətlərini sınaqdan keçirin.
EPP, EDR və XDR nə ilə fərqlənir?
EPP endpoint-də təhlükələrin qarşısını almağa, EDR isə endpoint hadisələrinin aşkarlanmasına, araşdırılmasına və onlara cavab verilməsinə yönəlir; bir çox mühitdə bu imkanlar birlikdə istifadə olunur. Məsələn, EPP zərərli faylı bloklaya bilər; müdafiədən keçən fəaliyyət sonradan şübhəli proses və şəbəkə əlaqəsi yaratsa, EDR əlaqəli endpoint hadisələrini araşdırma üçün göstərə bilər. Komanda sonra zəifliyi düzəldə, oxşar endpoint-lərdə təsiri yoxlaya və təkrar fəaliyyəti izləyə bilər. XDR endpoint-dən əlavə şəbəkə, identifikasiya, e-poçt və bulud siqnallarını əlaqələndirə bilər; real əhatə və inteqrasiya dərinliyi məhsuldan asılıdır.
EDR-dən başqa hansı endpoint nəzarətləri var?
Endpoint-in idarə edilməsi aktiv inventarını, yenilənmələri və icazəsiz proqramların məhdudlaşdırılmasını əhatə edə bilər. EPP antivirus və antimalware, firewall, tətbiqlərə icazə və ya blok siyahıları, şifrələmə və məlumat itkisinin qarşısının alınması kimi funksiyaları birləşdirə bilər. URL filtrasiyası və brauzer izolyasiyası veb risklərini, şəbəkəyə giriş nəzarəti isə hansı cihazların qoşula biləcəyini idarə edir; mobil cihazların siyasətləri MDM ilə tətbiq oluna bilər. Bu vasitələr EDR-in toplaya bildiyi endpoint hadisələrini, araşdırma və cavab imkanlarını tamamlayır. Funksiyaların eyni məhsulda olub-olmadığını və konkret cihazlara tətbiqini yoxlayın.
MEDR ilə MDR arasında fərq nədir?
Managed EDR (MEDR) provayderin EDR platformasını idarə etdiyi, onun xəbərdarlıqlarını araşdırdığı və razılaşdırılmış cavab tədbirlərini yerinə yetirdiyi xidmətdir. MDR daha geniş məlumat mənbələrini və təhdid axtarışını da əhatə edə bilər. Xidmət adından çox müqavilədəki əhatəni müqayisə edin: cihazlar, məlumat mənbələri, cavab səlahiyyəti, eskalasiya, iş saatları və daxili komandanın vəzifələri.
Endpoint agentinin kernel səviyyəsində işləməsini necə qiymətləndirmək olar?
Yüksək səlahiyyətli komponentlər dərin görünüş və müdafiə verə bilər, lakin dayanıqlıq və uyğunluq sınağı tələb edir. Tələb olunan sürücüləri, yeniləmə və bərpa prosesini, əməliyyat sistemi dəstəyini və sınaq mühitində nasazlıq davranışını istehsalçı ilə yoxlayın.
EDR provayderini seçərkən nəyi ölçmək lazımdır?
Aşkarlama və cavab əhatəsini, API və inteqrasiyaları, miqyas və endpoint performansını, konsolun istifadəsini, hesabatı, dəstək və təlimi yoxlayın. Fərdi qaydaların yaradılması və sazlanmasını, analitika və sensor yeniləmələrinin tezliyini və problemli yeniləmənin geri qaytarılmasını soruşun. Sandbox analizi məhsula daxildirsə və ya inteqrasiya edilirsə, nümunənin işlək mühitdən necə təcrid olunduğunu və nəticələrin hadisə sübutlarına necə bağlandığını yoxlayın. İstifadəçi maarifləndirilməsini və insidentdən sonra kök səbəb təhlilinin kimə aid olduğunu planlaşdırın. Saxlama, məlumatın yeri və hüquqi tələbləri dəqiqləşdirin; lisenziya, tətbiq və daxili iş vaxtını ümumi sahiblik xərcinə daxil edin.
Hadisə zamanı EDR-dən hansı ardıcıllıqla istifadə olunur?
Xəbərdarlıqdan və ya yoxlanmış xarici təhlükə göstəricisindən başlayın. Əlaqəli hadisələri axtarın, cihazın əhəmiyyətinə və mümkün təsirə görə prioritetləri müəyyən edin, zərurət olduqda səlahiyyətli şəxsin təsdiqi ilə cihazı təcrid edin. Digər təsirlənmiş endpoint-ləri araşdırın və görülən tədbirlərin nəticəsini qeydə alın. Təcridin xidmətə mümkün təsirini və onu kimin təsdiqləyəcəyini əvvəlcədən müəyyən edin.
EDR cavab avtomatlaşdırmasını necə qiymətləndirmək olar?
Əlaqəli telemetriyanın hadisələri necə qruplaşdırdığını və siqnalların necə prioritetləşdirildiyini yoxlayın. Avtomatik cavabı yalnız əvvəlcədən təsdiqlənmiş tədbirlərə bağlayın; insan nəzarətini, istisnaları, audit qeydini və səhv tədbirin geri qaytarılmasını sınaqdan keçirin.