Главная мысль
Чтобы EDR-агент приносил пользу, свяжите сигналы с процессом расследования и реагирования, заранее определив доступные действия и собираемые данные.
Роль агента и собираемые данные
EDR-агент (Endpoint Detection and Response) наблюдает за работой компьютеров и серверов: запуском процессов, изменениями файлов, действиями в реестре и сетевыми соединениями. Телеметрия поведения и аномалий помогает службе безопасности понять масштаб события и исследовать первопричину. Некоторые решения также собирают журналы, хеши файлов и снимки системы; организации следует заранее оценить правила сбора и хранения таких данных.
Обнаружение и ответные действия
Агент может создавать оповещения о подозрительной активности и собирать данные для расследования в едином интерфейсе. В зависимости от возможностей решения и его конфигурации ответные действия могут включать изоляцию устройства от сети, остановку вредоносного процесса или запуск восстановления. Проверьте, какой сигнал запускает автоматизацию, требуется ли подтверждение и как действие повлияет на пользователей. Автоматическое реагирование не заменяет утверждённую процедуру реагирования организации.
Как EDR дополняет антивирус
Антивирус предназначен для обнаружения и блокировки вредоносных программ; современные решения могут использовать не только сигнатуры, но и анализ поведения. EDR помогает связать события на устройстве, провести расследование и выбрать меры реагирования. Функции могут пересекаться, поэтому EDR не следует считать автоматической заменой антивируса. При оценке сравните интеграцию с системой централизованного анализа событий (SIEM) и межсетевыми экранами, а также журналы инцидентов.
Что проверить перед внедрением
Проверьте совместимость агента с операционными системами и гибридной средой, способ управления при росте числа устройств и срок хранения данных об их активности. Определите роли, кому и когда передавать оповещения, кто вправе изолировать устройство и кто отвечает за восстановление. В ходе тестового инцидента оцените, какие данные показывает агент, как аналитик их исследует и можно ли отменить выбранное действие.