Главная мысль
EDR помогает исследовать процессы и связанные события, создавать оповещения и в некоторых случаях изолировать устройство. Что видно системе, зависит от телеметрии, правил и связи; скорость реагирования команды влияет на последствия уже выявленной активности.
Роль EDR: обнаружение, расследование, реагирование
Атака ransomware может начинаться с фишинга, украденной учётной записи, уязвимости в открытой из интернета системе или другого пути доступа. Получив доступ, злоумышленник может попытаться повысить привилегии, перемещаться по сети, найти файлы и резервные копии, а затем перейти к шифрованию или угрозе публикации данных. Задача EDR — обеспечить видимость этой активности на конечных устройствах, связать события и помочь организации расследовать инцидент и отреагировать.
Этапы атаки и задержка обнаружения
Между первоначальным доступом и шифрованием может пройти разное время; фиксированного срока нет. Исследуйте неожиданную работу с правами администратора, новые процессы и соединения, необычные входы, массовое обращение к файлам и вмешательство в резервные копии. Выбирайте срок хранения телеметрии по риску и задайте критерии эскалации для повышения привилегий, перемещения злоумышленника между системами и массовых изменений файлов.
Поведение и машинное обучение
Правила анализа поведения и машинное обучение могут помочь исследовать действия процесса даже без известной сигнатуры файла. Модели работают по-разному: не каждая строит профиль обычных действий для каждого пользователя и устройства. Спросите о данных для обучения и оценки, обновлениях, ложных тревогах и пропущенных угрозах, а также о том, как аналитик проверяет результаты модели. Надпись «ИИ» не доказывает качество обнаружения.
Поиск по устройствам и активный поиск угроз
Команде расследования нужен поиск по процессам, файлам, входам и сетевым событиям, а на Windows — и по доступным событиям реестра. Охват поиска зависит от ОС, сбора данных и срока хранения. Запрос по управляемым устройствам помогает оценить масштаб похожей активности. Проверьте фильтры, экспорт, права и переход от результата к реагированию.
Оповещение, изоляция и автоматический ответ
При опасном поведении EDR может оповестить аналитика и в некоторых настройках изолировать устройство от сети. Сетевая изоляция отличается от ограничения действий приложения, сохранения доказательств, очистки и восстановления. Уточните охват изоляции, сигнал запуска, согласования и исключения, запись действий в журнал аудита, а также последствия ошибочной изоляции для критичных сервисов.
Работа вне сети и удалённые устройства
Отсутствие VPN не означает отсутствие интернета и связи с облаком. Отдельно проверьте работу без VPN и при полном разрыве связи с интернетом или облаком: локальные правила, отложенные команды, сохранение и отправку телеметрии и поведение после перезагрузки. Используйте разрешённые безопасные имитации в лаборатории и контролируемом пилоте; не запускайте настоящее вымогательское ПО в рабочей сети. Ответы зависят от продукта и настроек.
Восстановление и цифровая экспертиза
EDR может показать последовательность событий, связи между процессами и собранные данные о затронутых устройствах. Аналитик выясняет путь проникновения, действия злоумышленника и пробелы в данных. Проверьте возможности экспорта и сохранения целостности доказательств. После устранения угрозы восстановление выполняют по отдельному плану с назначенными ответственными и проверкой систем и резервных копий на признаки компрометации.
Вопросы поставщику
На демонстрации используйте безопасные имитации подозрительных событий на нескольких устройствах и безвредное событие для проверки ложной тревоги. Отдельно покажите отсутствие VPN и разрыв связи с интернетом или облаком. Попросите показать телеметрию, поиск, задержку оповещения, условия изоляции и действия аналитика на каждом шаге.
Видимость
Какие события процессов, файлов, реестра, входов и сети собираются? Сколько дней хранятся данные и где искать более ранние сведения?
Поиск событий и угроз
Как аналитик ищет подозрительный процесс, аккаунт, файл или соединение по всем управляемым устройствам? Видны ли источник и дата данных киберразведки?
Изоляция и офлайн-режим
Какие соединения блокирует сетевая изоляция и остаётся ли канал управления для расследования? Как агент работает отдельно без VPN и без интернета или облака? Что происходит с отложенными действиями и телеметрией после восстановления связи?
Работа команды и восстановление
Как проверяется ложное срабатывание? Какие действия требуют подтверждения? Какие команды и интеграции нужны для экспорта данных, сохранения доказательств и восстановления из чистой копии?