XCITIUM / EDR
Телеметрия конечных точек, поведенческий анализ и меры реагирования дают команде контекст для расследования.
Архитектура крупным планом
Агент собирает системную активность и поддерживает непрерывное наблюдение.
Телеметрия конечных точекПоведенческий анализ VirusScope, сведения об угрозах и цифровые следы помогают понять событие.
VirusScope™Изоляция и автоматизированное реагирование применяются по политике; отчёт сохраняет результаты расследования.
Изоляция · РеагированиеАнтивирус нового поколения Xcitium использует анализ поведения, машинное обучение и данные об угрозах. NGAV выявляет вредоносные признаки, ZeroDwell изолирует неизвестное исполнение, а EDR сохраняет контекст этих событий для расследования и реагирования.
Агент собирает системную активность на подключённых устройствах и предоставляет контекст процессов, файлов и событий для расследования. Охват ограничен конечными устройствами с установленным поддерживаемым агентом.
VirusScope объединяет последовательность событий, поведенческие признаки и доступную телеметрию для расследования угроз.
Аналитика связывает индикаторы угроз и поведенческий контекст с событиями на конечных устройствах. Внешние ленты и интеграции доступны в зависимости от выбранной конфигурации.
Неизвестное или подозрительное исполнение может изолироваться согласно политике. Цель — ограничить влияние на время расследования; правила, исключения и разрешение запуска должны соответствовать модели риска владельца системы.
Утверждённые процессы могут автоматизировать изоляцию устройства и отдельные меры устранения. Заранее определите, какие действия автоматические, а какие требуют согласования; восстановление и откат проверьте в пилоте.
Телеметрия инцидентов, результаты расследования и журналы аудита помогают объяснять события и отслеживать устранение. Централизованные политики управляют группами устройств, а записи поддерживают работу по соответствию требованиям.
Сравнение подходов
| Критерий | EDR: обнаружение и расследование | Containment: ограничение воздействия |
|---|---|---|
| Основная задача | Собирать, анализировать и расследовать события на конечных устройствах. | Ограничивать влияние подозрительного или неизвестного исполнения согласно политике. |
| Основные данные | Телеметрия агента, поведенческие сигналы и настроенные данные об угрозах. | Событие исполнения и заранее заданная политика конечного устройства. |
| Операционное действие | Изучить контекст, классифицировать событие и выбрать меру реагирования. | Ограничить неизвестный запуск в виртуальной среде; отключение устройства от сети — отдельное действие EDR. |
| Граница управления | EDR обеспечивает видимость событий и контекст расследования; containment управляется отдельными политиками и действиями реагирования. | Решения об изоляции должны учитывать полномочия, исключения и восстановление. |
Перед началом работы
Охват EDR определяется поддерживаемыми агентом операционными системами, интеграциями и политиками реагирования. Пилот на типичных устройствах помогает оценить повседневное управление, влияние на ресурсы и полномочия реагирования.
Какие версии Windows, macOS, Linux и серверных систем нужно охватить и какие ограничения есть у агента?
Какие устройства критичны, какие группы подходят для безопасного пилота и какие приложения нужно проверить?
Кто уполномочен включать автоматическую изоляцию и устранение, какие исключения и сценарии отката нужны?
Какие интеграции с SIEM, SOAR и данными об угрозах действительно нужны и доступны в выбранной конфигурации?
EDR объединяет телеметрию конечных устройств, VirusScope, данные об угрозах, Auto-Containment™, устранение и отчётность.
Читать подробнееZeroDwell изолирует неизвестное исполнение; политика EDR определяет применение изоляции и мер реагирования.
Читать подробнееПеред выбором решения
EDR наблюдает за активностью подключённых конечных устройств, помогает расследовать подозрительное поведение и может выполнять меры реагирования согласно политике. Видимость ограничена устройствами с установленным агентом.
Xcitium EDR сочетает Auto-Containment™ и изоляцию неизвестного исполнения с возможностями реагирования. Политики определяют автоматическую изоляцию и меры устранения.
EDR помогает обнаруживать поведение ransomware и запускать containment. Реагирование определяется охватом устройств, политиками, полномочиями команды и готовностью к восстановлению.
Интеграции с SIEM, SOAR и платформами данных об угрозах зависят от доступных коннекторов и лицензии; состав передаваемых событий определяется интеграцией.
EDR применяется в небольших и крупных средах. Масштабирование планируют с учётом числа устройств, разнообразия ОС, хранения данных, лицензирования и операционной модели.
Xcitium
