Главная мысль
Определите отслеживаемые активы и владельцев расследования; проверьте корреляцию с SIEM.
Что отслеживает IDS?
Система обнаружения вторжений (IDS) может сопоставлять сетевой трафик или события узла с сигнатурами, правилами и признаками поведения и создавать оповещения. IDS обычно работает на обнаружение; не смешивайте его с IPS, который может вмешиваться в трафик и блокировать его. Отдельно оцените видимость сетевого трафика, событий на узлах и зашифрованного трафика в охвате продукта.
Видимость конечной точки в EDR
Агент EDR может собирать на конечном устройстве телеметрию вроде дерева процессов, активности файлов и контекста пользователя, помогая расследовать событие и выполнять поддерживаемые ответные действия. Устройства без агента и сетевые события могут оставаться за пределами такого обзора. Проверьте охват и срок хранения в тестовой среде.
| Критерий | IDS | EDR |
|---|---|---|
| Точка наблюдения | Сетевые сенсоры или сенсоры на узлах | Управляемые конечные устройства |
| Контекст | События сенсора | Контекст процессов, файлов и пользователей |
| Действие | Оповещения; блокировка IPS — отдельная функция | Поддерживаемые и разрешённые действия на устройстве |
| Пробел | Размещение сенсоров и шифрование | Отсутствие агента и ограничения хранения |
Совместное обнаружение и реагирование
IDS может показать подозрительное соединение в сети, а EDR — процесс на конечном устройстве в то же время. Связывайте сигналы в SIEM или процессе расследования по времени, устройству, пользователю и индикаторам. Документируйте пороги оповещений, ответственного за первичный разбор оповещений, обработку ложных срабатываний и решения об изоляции.