Главная мысль
Сочетайте EDR с контролем учётных записей, сильной аутентификацией и ограниченными разрешениями; проверяйте охват обнаружения и реагирования на реальных сценариях.
Правильно определите роль EDR
EDR собирает телеметрию с конечных устройств, помогает выявлять подозрительные процессы и соединения, расследовать события и запускать поддерживаемые меры реагирования. Результат зависит от охвата датчиков, политик, качества данных и операционных процессов. EDR не заменяет отдельные меры для паролей, MFA, жизненного цикла идентификаций и разрешений на ресурсы. Используйте EDR как контроль конечных устройств вместе с защитой аккаунтов, идентификаций и приложений.
Связывайте сигналы учётных записей и устройств
Совместно анализируйте неудачные и рискованные входы, изменение привилегий, необычные процессы и новые устройства. Сохраняйте время, пользователя, устройство и ресурс в общем потоке событий; проверяйте внезапную административную активность обычной учётной записи и вход с незнакомого устройства. Сигналам нужен контекст: поездки, смены и технические изменения могут создавать ложные срабатывания. При подтверждённом подозрении применяйте утверждённую процедуру ограничения учётной записи и изоляции устройства.
Проверяйте охват и отрабатывайте реагирование
Проверьте, что устройства из инвентаря действительно подключены к EDR, датчики исправны, журналы передаются, а политики применяются к нужным группам. На ограниченных тестовых сценариях проверьте получателя оповещения, наличие данных для расследования и согласование ответных действий. Назначьте ответственных за блокировку учётной записи, изоляцию устройства и восстановление. Фиксируйте результаты, подключайте отсутствующие устройства и отслеживайте путь от обнаружения события до утверждённого действия реагирования.
Свяжите MFA и EDR в процессе реагирования
При краже учётных данных действия процессов на конечном устройстве и журналы входа у провайдера идентификации дают два разных слоя доказательств. При триаже сопоставьте последние входы, метод MFA и историю сбросов; события процессов, файлов и сети на устройстве; целевой ресурс и изменения в единой временной шкале. Если связь подтверждена, ограничьте аккаунт, отзовите токен, изолируйте устройство и уведомите владельца по процедуре реагирования. Прежде чем планировать действия с аккаунтом и сессиями, проверьте интеграции с провайдером идентификации и приложениями и права на эти действия. После отзыва токена проверьте активную сессию в каждом приложении: охват интеграции и срок сессии могут ограничивать результат.