Əsas fikir
Uğurlu yerləşdirmə təkcə agentin quraşdırılması deyil. Dəstəklənən cihazları, toplanan məlumatı, araşdırmanı kimin aparacağını və cavab tədbirlərinin necə təsdiqlənəcəyini əvvəlcədən razılaşdırın.
Əhatəni, inventarı və idarəetmə modelini müəyyən edin
Başlamazdan əvvəl işçi stansiyaları, serverləri, uzaq və mobil cihazları, virtual maşınları, idarə olunan konteyner mühitlərini, printer, kamera və sensor kimi şəbəkəli avadanlığı inventara alın. Hər qrup üçün sahibi, biznes əhəmiyyəti, əməliyyat sistemi, yenilənmə vəziyyəti və yerləşmə üsulunu qeyd edin. Dəstəklənən cihazların sayı ilə tam telemetriya və cavab imkanı olan cihazların sayını ayrı ölçün; inventarda görünmək bütün təhlükəsizlik funksiyalarının işləməsi demək deyil. BYOD və yeni aşkarlanan cihazlar üçün sahiblik, təsdiq, yenilənmə və şəbəkəyə giriş şərtlərini müəyyən edin. EDR agenti dəstəklənməyən avadanlıq üçün firmware yenilənməsi, giriş nəzarəti və şəbəkə seqmentasiyası kimi ayrıca tədbirləri planlaşdırın. Bulud, yerli və ya hibrid idarəetmə modelini, məlumatın saxlanma yerini və yeniləmə sahibini dəqiqləşdirin.
Agenti, telemetriyanı və məxfiliyi planlaşdırın
Agent quraşdırılmasını, yenilənməsini, nasazlıqdan sonra bərpasını və uzaq cihazlarda əlaqəni sınaqdan keçirin; hər cihazı əl ilə qurmaq əvəzinə mövcud proqram paylama vasitələrinizlə mərhələli quraşdırma planı hazırlayın. Məqsədə uyğun telemetriyanı seçin: proses və tətbiq başladılması, fayl və reyestr dəyişiklikləri, istifadəçi və hesab fəaliyyəti, şəbəkə əlaqələri, DNS və sistem konfiqurasiyası. Toplanan məlumatı kimlərin görə biləcəyini, hansı məlumatın ixrac olunduğunu və nə qədər saxlandığını müəyyən edin. İşçi monitorinqi üçün lazımsız şəxsi məlumatı toplamamaq və giriş hüquqlarını məhdudlaşdırmaq üzrə daxili siyasət və hüquqi tələbləri yoxlayın; mouse və klaviatura fəaliyyətini toplamağı standart EDR telemetriyası kimi qəbul etməyin.
Əməliyyat sistemi və Linux iş yüklərini ayrıca yoxlayın
Dəqiq nəşr, versiya və arxitekturanı məhsulun dəstək siyahısı və lisenziya ilə tutuşdurun; hər mühitdə agent davranışını sınaqdan keçirin.
Windows həyat dövrü
Windows 10 versiyası 22H2 üçün ümumi dəstək 14 oktyabr 2025-ci ildə başa çatıb. ESU uyğunluq və qeydiyyat şərtləri ilə ayrıca yeniləmələr verir; LTSC nəşrlərinin isə öz dəstək tarixləri var. Konkret nəşri, lisenziyanı və EDR agentinin dəstəyini ayrıca yoxlayın.
Linux serverləri
Dəstəklənən paylama və kernel versiyasını, CPU arxitekturasını və agentin telemetriya üsulunu təsdiqləyin. Kernel modulu, eBPF, audit qeydləri və ya istifadəçi məkanındakı daemon üçün yenilənmə, resurs təsiri və nasazlıq davranışını sınaqdan keçirin; bir üsulun dəstəyi bütün məhsullara şamil edilmir.
Konteynerlər və Kubernetes
Qısaömürlü pod və proseslər üzrə sübutların saxlanmasını, ad məkanları üzrə görünüşü, runtime dəstəyini və cavab tədbirinin klasterə təsirini yoxlayın. İstehsalçının açıq göstərdiyi mühiti pilotda sınayın.
Siqnalların ilkin qiymətləndirilməsi, eskalasiya və cavab üzrə məsuliyyəti bölüşdürün
Seçdiyiniz daxili, idarə olunan və ya hibrid modeldə işin və cavab səlahiyyətinin kimə aid olduğunu runbook və müqavilədə müəyyən edin.
| Rol | Gündəlik iş | Səlahiyyət və cavab |
|---|---|---|
| Daxili analitik | Siqnalları ilkin olaraq qiymətləndirir, konteksti və təsiri araşdırır, eskalasiya edir. | Runbook-da ayrılmış tədbirləri icra edir; təsdiq tələb edən addımları eskalasiya edir. |
| Endpoint / xidmət sahibi | Cihazın əhəmiyyətini, xidmət təsirini və bərpa tələblərini bildirir. | Xidmətə təsir edən addımların təsdiqini təşkilatın qaydasına uyğun verir. |
| Managed EDR/MDR provayderi | Müqavilədə göstərilən mənbələri izləyir, araşdırır və eskalasiya edir. | Tədbirləri yalnız müqavilədə razılaşdırılmış səlahiyyət daxilində görür. |
Sınağı nəzarətli ssenari və razılaşdırılmış meyarlarla aparın
Eyni təhlükəsiz ssenarini namizəd məhsullarda təkrarlayın və əvvəlcədən razılaşdırılmış meyarlarla qiymətləndirin.
Ssenarini seçin
Test indikatoru və ya şübhəli proses simulyasiyasından istifadə edin; canlı zərərli proqramı işlək mühitdə işlətməyin. Uğur meyarlarını başlamazdan əvvəl yazın.
Siqnalı və sübutları izləyin
Siqnalın səbəbini, əlaqəli proses/fayl/hesab hadisələrini, zaman xəttini və sübut ixracını yoxlayın. Yanlış siqnalın və təsdiqlənmiş insidentin necə qeydə alındığını göstərin.
Cavab və geri qaytarmanı sınayın
Təcrid və karantin tədbirlərini göstərin; nəyin avtomatik olduğunu, kimin təsdiq verdiyini, xidmət təsirini və səhv tədbirin necə geri alındığını qeyd edin.
Öz cihazlarınızda uyğunluğu yoxlayın
İnventardakı OS nəşri/versiyası və arxitekturanı, agent quraşdırılmasını, uzaq və oflayn davranışı, siyasətləri, şəbəkə tələblərini və SIEM/ITSM/API inteqrasiyalarını sınaqdan keçirin.
Meyarlarla müqayisə edin
Eyni ssenarini hər namizəddə işlədin. Görünüşü, aşkarlama və araşdırma keyfiyyətini, yanlış siqnalları, analitik addımlarını, cavab nəzarətini, uyğunluğu və əməliyyat yükünü ölçün. MITRE ATT&CK hücumçuların taktika və texnikaları haqqında bilik bazasıdır; ATT&CK Evaluations isə həmin bazaya əsaslanan ayrıca qiymətləndirmə proqramıdır. Nəticələri sınağın əhatəsi və konfiqurasiyası ilə birlikdə nəzərdən keçirin: onlar öz mühitinizdə pilotu əvəz etmir.
Avtomatlaşdırmanı və SOAR inteqrasiyasını idarə edin
EDR siqnalların ilkin qiymətləndirilməsini, araşdırmanı, təcrid və karantin tədbirlərini avtomatlaşdıra bilər; inteqrasiya olunmuş SOAR təsdiqlənmiş iş axınlarını SIEM, identiklik, e-poçt və şəbəkə vasitələri ilə əlaqələndirə bilər. Hər playbook üçün hansı siqnalların şərt olduğunu, hansı tədbirlərin avtomatik icra edildiyini, hansıların insan təsdiqi istədiyini və uğursuz icra zamanı nə baş verdiyini müəyyən edin. Yanlış müsbət nəticələr və kritik son nöqtələr üçün istisnaları, audit izini, sınaq və geri qaytarma prosedurunu yoxlayın. Məhsulun “AI”, “proqnoz” və ya “avtomatik cavab” etiketini konkret funksiya, inteqrasiya, siyasət və səlahiyyətlərin nümayişi ilə qiymətləndirin.
Bərpanı ölçün və nəticələrdən öyrənin
İnsident zamanı təsirlənmiş cihaz və hesabları, zərərli fayl və alətlərin yerini, ilkin giriş yolunu, mümkün zəiflikləri və əlaqəli endpoint-ləri araşdırın. Yayılmanı məhdudlaşdırın və cavab planına uyğun olaraq təmizləmə və yenidən quraşdırmadan əvvəl araşdırma üçün lazım olan qeydləri və digər sübutları qoruyun. Sonra zərərli fəaliyyəti və davamlı giriş mexanizmlərini aradan qaldırın, aşkar edilmiş zəiflikləri düzəldin, oxşar cihazlarda əlaqəli izləri axtarın və yenilənmə ilə siyasətləri nəzərdən keçirin. Bərpa olunan sistemlərin bütövlüyünü və normal işlədiyini yoxlayın; ehtiyat nüsxələrindən istifadə edilirsə, onları bərpadan əvvəl yoxlayın. Hadisədən sonra aşkarlama, araşdırma və bərpa müddətini, tədbirlərin həyata keçirilmə vaxtını, uğursuz və gecikmiş addımları və təkrarlanan boşluqları qeyd edin. Nəticələrdən qayda, runbook, patch prosesi, təlim və yerləşdirmə əhatəsini yeniləmək üçün istifadə edin; metrikləri insident konteksti ilə birlikdə şərh edin.