Главная мысль
Сравнивайте источники обнаружения, правила трафика и полномочия реагирования.
Короткий ответ и сравнение ролей
EDR — не firewall. Firewall определяет, какой трафик проходит по правилам; EDR показывает события на конечном устройстве и помогает расследованию и реагированию. Выражение «EDR firewall» зависит от производителя и может означать правила на устройстве, сетевую изоляцию или другую функцию.
| Критерий | Firewall | EDR |
|---|---|---|
| Точка контроля | Сетевая граница, внутренний сегмент или узел | Конечное устройство с агентом |
| Наблюдаемые сигналы | Метаданные трафика; проверка приложений и содержимого, если поддерживается | Процессы, файлы и действия на узле |
| Политика трафика | Правила по IP, порту и протоколу; проверка приложений и состояния зависит от возможностей | Правила межсетевого экрана на устройстве, только если продукт их поддерживает |
| Расследование и реагирование | Решение по трафику и изменение правила | Контекст события на узле и доступные действия |
| Пересечение зависит от продукта | Межсетевой экран на устройстве не заменяет полностью сетевой шлюз | Сетевая изоляция не равна политике firewall |
EDR и firewall отвечают на разные вопросы
Firewall определяет, каким соединениям разрешён вход в сеть или выход из неё. EDR показывает, какие процессы и действия происходят на конечном устройстве, помогая расследовать подозрительное поведение. Различие заключается в точке применения контроля и доступной телеметрии.
Проверяйте пересечение функций у конкретного продукта
В некоторых продуктах агент EDR может управлять правилами межсетевого экрана на устройстве, но это не стандарт для всех EDR и не означает охват сетевого шлюза. Проверьте документацию производителя, лицензию, поддерживаемые ОС, источник правил, управление ими и поведение без связи. Не предполагайте, что правила периметра автоматически дублируются.
Принимайте решение по пробелам в покрытии
Отдельно задайте требования для интернет-периметра, внутренних сегментов и конечных устройств. Затем сопоставьте возможности имеющихся средств с фильтрацией соединений, видимостью процессов, оповещениями и реагированием. В пилоте убедитесь, что правила блокировки не мешают легитимной работе, а действия при инциденте можно отследить.
Пример согласованного реагирования
Отработайте совместную работу EDR и firewall: сопоставление сигналов, согласование действий и восстановление сервиса. Проведите учебный разбор и техническую проверку, оценив обнаружение угрозы и влияние на обычную работу.
Сопоставьте сигналы
Сопоставьте сигнал EDR с журналами соединений firewall и контекстом актива.
Выберите согласованные действия
Назначенный согласующий отдельно утверждает изоляцию устройства или ограничение доступа к учётной записи, а также изменение правила трафика.
Зафиксируйте решение и доказательства
Запишите владельца, действия, время и аудиторский след; сохраните данные и доказательства.
Проверьте восстановление
После устранения угрозы проверьте работу сервиса и с согласованием снимите временную изоляцию и правило.