Главная мысль
EDR может сопоставлять часть сведений о процессах, файлах, изменениях системы, входах пользователей и сетевых соединениях. Проверьте, какие данные собираются и хранятся, исследуйте подозрительные события и применяйте меры изоляции по плану реагирования.
Что делает EDR
Endpoint Detection and Response (EDR) — класс средств для наблюдения и расследования событий безопасности на конечных устройствах, таких как ноутбуки, настольные компьютеры и серверы. Поддержку планшетов и мобильных устройств проверяйте отдельно для конкретного продукта, настроек и ОС. EDR может собирать телеметрию, выявлять подозрительную активность, помогать расследованию и запускать меры реагирования. Если защита незаметно дала сбой, сохранённые события могут помочь восстановить картину происшествия.
Какие данные собираются
В зависимости от настроек и политики EDR может записывать вход пользователя, процессы, имена прочитанных или записанных файлов, изменения системы и реестра, загрузку драйверов, работу диска и памяти, а также метаданные сетевых соединений. Например, открытие «Пример.docx» в Word можно связать с пользователем, устройством, процессом Word и именем файла. Сетевая запись может показывать адрес сайта без содержимого страницы; отдельно выясните, собирает ли продукт содержимое из других источников. Проверьте правила сбора, конфиденциальности и хранения данных.
Как выявляются события
Помимо разовой проверки файла, EDR может сопоставлять процессы и системные события. Сигнатуры помогают распознавать известные угрозы; изменение кода может помешать совпадению с конкретной сигнатурой. Анализ поведения оценивает в контексте массовое обращение к файлам, подозрительные изменения системы и необычные соединения. Списки разрешений задают одобренные объекты, а списки блокировки — запрещённые. Ни один метод сам по себе не выявляет надёжно все угрозы.
Код меняется, функция сохраняется
Вредоносная программа может менять код перестановкой команд, переименованием регистров или добавлением инструкций. Это способно обойти конкретную сигнатуру; поведение и другие признаки всё ещё можно исследовать.
Поведенческие сигналы проверяют в контексте
Попытка распознать песочницу, отключение средств защиты, установка руткита и добавление автозапуска — поводы для расследования. Законное администрирование и установка программ тоже могут создавать похожие изменения; проверьте процесс, пользователя, время и последовательность действий.
Статический и динамический анализ
Статический анализ изучает структуру файла без запуска; динамический наблюдает за выполнением в контролируемой среде. Это работа специалистов: проверка требует времени и ресурсов, а программа может распознать песочницу и вести себя иначе. Сопоставляйте результаты с действиями пользователя и телеметрией конечных устройств.
Бесфайловые атаки и видимость
При бесфайловой атаке вредоносный код может выполняться в памяти или через штатные системные средства без отдельного исполняемого файла на диске. При этом другие этапы атаки могут использовать файлы. Для расследования сопоставляйте данные памяти, цепочки процессов, действия пользователей, изменения системы и сетевые соединения. Доступность этих данных зависит от охвата и срока хранения телеметрии.
Расследование и поиск угроз
Чтобы проверить оповещение, аналитик может восстановить последовательность событий по временной шкале, выяснить, от имени какого пользователя запущен процесс, к каким файлам он обращался и с какими сетевыми адресами соединялся. Такие же запросы можно выполнить по другим управляемым устройствам, чтобы проверить наличие похожей активности. Данные киберразведки могут дать дополнительный контекст наблюдаемым признакам; уточняйте источник и дату обновления этих данных. Активный поиск угроз означает, что аналитик ищет подозрительные закономерности, не дожидаясь оповещения.
Обновляйте инвентарь активов
Перед поиском и оценкой компрометации проверьте охват хостов, серверов, приложений и других управляемых систем. Неизвестные активы могут не попасть в расследование.
Планируйте оценку компрометации по риску
Планируйте проверки после подозрительных оповещений, появления новых уязвимостей и изменений среды, уделяя особое внимание критичным системам. Охват и частоту выбирайте по риску и возможностям команды; единый еженедельный график подходит не всем.
Документируйте процедуры и проводите учения
Письменно распределите обязанности по проверке оповещений, сохранению доказательств, эскалации и реагированию. Отрабатывайте сценарии с командой и операционными партнёрами, фиксируйте пробелы и ответственных.
Сопоставляйте этапы атаки и действия с действующей учётной записью
Разведку, запуск процессов, удалённый вход и работу с файлами, которые по отдельности могут быть обычными, проверяйте как последовательность. Использование действующей учётной записи с непривычного устройства, в необычное время или для доступа к новому ресурсу — повод для проверки, а не доказательство атаки. Сопоставьте учётную запись, процесс, устройство и сетевой контекст по доступной телеметрии и другим свидетельствам.
Реагирование, изоляция и восстановление
При подтверждённом событии или высоком риске руководитель реагирования координирует срочное ограничение ущерба, сохранение доказательств и расследование. EDR может оповестить аналитика, остановить процесс или ограничить сетевое подключение; заранее определите автоматические действия и действия с подтверждением. До очистки, способной уничтожить следы, сохраните нужные данные, установите масштаб, путь проникновения и способы закрепления. После устранения угрозы определите, что нужно восстановить, и проверьте работу данных, приложений и сервисов до контролируемого подключения к сети. Заранее испытайте изоляцию, работу агента без связи и сохранение настроек после перезагрузки: не каждое оповещение требует восстановления из резервной копии.
Критерии выбора EDR
Сравнивая предложения, задайте конкретные вопросы о шифровании и многофакторной аутентификации, масштабировании при росте числа устройств, объёме и сроке хранения телеметрии, поиске и экспорте данных, расследовании оповещений, полномочиях реагирования, работе в облаке и офлайн, поддерживаемых системах, интеграциях, поддержке и полной стоимости. Уточните, какие задачи настройки и повседневной работы упрощает автоматизация. Оцените также, есть ли у команды время и навыки для анализа оповещений, проверки ложных срабатываний и реагирования на инциденты.
Сопоставляйте сигналы обнаружения
Разные средства видят разные события. Система обнаружения вторжений (IDS) отслеживает подозрительные шаблоны сетевого трафика; SIEM собирает и сопоставляет журналы разных систем; EDR показывает процессы и события на устройстве. Средства защиты почты и веб-доступа помогают исследовать исходные ссылки и файлы. Действие, незаметное в одном источнике, может проясниться по данным пользователя, устройства и времени из другого. Интеграция и сохраняемые данные зависят от продукта и конфигурации.
Сетевые события и входы в систему
Необычное соединение, время входа или крупная передача данных могут стать поводом для проверки. Одна аномалия не доказывает атаку; сопоставьте её с обычной работой и другими событиями.
Журналы и временная шкала
SIEM и другие средства централизованного сбора журналов помогают объединить источники и восстановить последовательность событий. Проверьте подключённые источники, синхронизацию времени и срок хранения данных.
Поведение конечных устройств
EDR может сопоставить цепочки процессов, изменения файлов и реестра, а также сетевые соединения. Видимость зависит от охвата агента, платформы, политики и данных, собранных во время отсутствия связи.
Типы инцидентов и контекст
Вредоносное ПО и программы-вымогатели, фишинг, необычное использование действующей учётной записи и длительная целевая активность могут проявляться в разных источниках. Сопоставляйте события почты, входа в учётные записи, устройств и сети по общей временной шкале; каждый отдельный сигнал ещё не означает подтверждённый инцидент.
Отдельно контролируйте перемещение данных
При подозрении на программу-вымогатель и утечку данных телеметрия конечных устройств может помочь выяснить, какой процесс, пользователь и устройство участвовали в событии. Права доступа и правила DLP могут ограничивать перемещение данных. Сопоставляйте сигналы по времени; телеметрия EDR не заменяет DLP и не даёт полной записи всех передач.
Модель подаёт сигнал, аналитик проверяет
Модель машинного обучения может классифицировать закономерности в доступной телеметрии и создать оповещение для проверки. Результат зависит от обучающих данных, меток, критериев и изменений среды. Законная работа администратора может вызвать ложную тревогу, а вредоносная активность — остаться незамеченной. Настраивайте оповещения и проверяйте их в контексте инцидента. При оценке на размеченных и проверенных событиях отдельно считайте верно выявленную угрозу, ложную тревогу, безвредную активность без тревоги и пропущенную угрозу; отсутствие тревоги само по себе не доказывает безопасность события.
Истинно положительный результат
Расследование подтверждает, что оповещение соответствует реальной вредоносной активности. Зафиксируйте подтверждающие данные, масштаб и принятые меры.
Ложноположительный результат
Оповещение создано, и расследование установило, что активность была законной или безвредной. Запишите причину и решение; повторяющуюся законную работу проверьте на предмет настройки политики или правила.
Истинно отрицательный результат
Система не отметила законную активность как угрозу. Учитывайте результат только для событий, проверенных в ходе оценки и охваченных достаточными данными.
Ложноотрицательный результат
Вредоносная активность подтверждена, но оповещения не было. Запишите свидетельства пропущенной угрозы, проверьте охват телеметрии и правила обнаружения, затем испытайте подходящее изменение.
Телеметрия и средства контроля Windows для бесфайловых атак
При бесфайловой атаке код может выполняться в памяти или через штатные средства без отдельного исполняемого файла. Следы могут оставаться в памяти, журналах, реестре и планировщике заданий. PowerShell, Windows Management Instrumentation (WMI), точки автозапуска в реестре, запланированные задания и макросы VBA применяются и для законных задач. При неожиданной активности выясняйте, кто и какой процесс её запустил, когда это произошло и какие сетевые соединения использовались.
PowerShell и VBA
Сопоставляйте неожиданное выполнение скриптов и макросов с цепочкой процессов и действиями пользователя. При включённом Script Block Logging содержимое блоков PowerShell может попасть в журналы событий Windows; канал зависит от версии PowerShell. Ограничьте доступ к журналам и защитите возможные конфиденциальные данные.
WMI, реестр и задания
Если нужные источники аудита включены и журналы сохранены, используйте записи о действиях WMI, новых точках автозапуска в реестре, создании и изменении запланированных заданий. Сопоставляйте неожиданные изменения с согласованной работой администраторов и учётной записью.
Сначала проверьте политику управления приложениями
Политика управления приложениями Windows отличается от PowerShell ExecutionPolicy: последняя не служит границей безопасности. Сначала испытайте поддерживаемый режим аудита, оцените влияние на скрипты и модули, затем вводите принудительное применение поэтапно. Возможности зависят от версий PowerShell и Windows; описанное поведение аудита PowerShell появилось в версии 7.4. Проверьте, что обычная работа администраторов сохраняется.
Частые вопросы
EDR объединяет обнаружение, расследование и реагирование; фактический охват и результат зависят от продукта, телеметрии и рабочих процессов.
Может ли EDR обнаруживать вредоносное ПО?
Да. EDR может искать признаки вредоносной активности в событиях конечного устройства и предоставлять контекст для расследования. Обнаружение может использовать сигнатуры, правила, анализ поведения и другие источники; охват зависит от продукта и настроек.
Может ли EDR обнаружить ransomware?
EDR может выявлять массовые изменения файлов и подозрительное поведение процессов. Что удаётся обнаружить, зависит от телеметрии, правил и настроек. Скорость реагирования влияет на ущерб после обнаружения, но сама по себе не меняет видимость событий.
Чем EDR отличается от средств защиты от вредоносного ПО?
Средства защиты от вредоносного ПО могут проверять файлы, помещать угрозы в карантин или удалять их. EDR может дополнительно предоставлять телеметрию и рабочие процессы для расследования связанных событий, управления оповещениями и координации реагирования. Функции продуктов пересекаются; не считайте, что любой EDR заменяет антивирус.
Как обнаруживается вредоносное ПО?
Сигнатурное обнаружение сравнивает файл с известным образцом. Анализ поведения оценивает контекст процесса и системных событий. EDR может сочетать эти результаты, после чего аналитик проверяет оповещение и выбирает подходящий ответ.