Главная мысль
Эти средства работают на разных уровнях. Антивирус проверяет и блокирует известные вредоносные файлы; EPP централизует средства защиты конечных устройств; EDR сопоставляет события и помогает расследовать инциденты и реагировать; межсетевой экран управляет сетевым трафиком по правилам. Проверяйте охват, интеграцию и ответственность за реагирование на конкретных сценариях.
Сначала определите охват
Конечное устройство — это компьютер или другое оборудование, через которое пользователь или служба подключается к сети: рабочая станция, сервер, телефон, планшет, а иногда принтер, POS-терминал или IoT-устройство. Перед сравнением решений составьте перечень устройств, владельцев, доступных данных и режимов подключения. Антивирус для одного компьютера и централизованное управление парком организации решают разные задачи.
Пользовательские устройства
Учитывайте ноутбуки, настольные компьютеры, телефоны и планшеты, отмечая владельца, ОС, сценарий использования и доступ к рабочим данным.
Серверы и службы
Отдельно проверьте, какие агенты, политики и средства мониторинга охватывают серверы и облачные рабочие нагрузки: поддержка платформ у разных решений различается.
Общие устройства и IoT
Определите, как обновлять и администрировать принтеры, часы, медицинские и промышленные устройства и где они находятся в сети.
Найдите точки доступа к сети
Зафиксируйте, как к сети подключаются удалённые, личные и гостевые устройства, точки беспроводного доступа и IoT. Проверьте пробелы в действующих мерах и назначьте для каждой группы устройств ответственных за реагирование и резервное копирование.
Какую задачу решает каждое средство?
Названия продуктов и состав пакетов различаются. Уточните, на каких устройствах работает каждый компонент, какую телеметрию он собирает и какую команду уведомляет. В таблице показано различие основных задач; конкретные возможности нужно проверять для выбранной конфигурации и лицензии.
| Средство | Основная задача | Что проверить |
|---|---|---|
| Антивирус | Проверяет файлы и процессы по известным сигнатурам, репутации и, в некоторых продуктах, поведенческим правилам; может заблокировать файл или поместить его в карантин. | Одно устройство или централизованное управление? Какие системы и методы обнаружения поддерживаются? |
| EPP | Централизованная платформа защиты конечных устройств; может объединять антивирус, локальный межсетевой экран, веб- и почтовую фильтрацию, контроль приложений и устройств. | Какие модули входят в пакет, какие лицензируются отдельно и какие политики настраиваются в консоли? |
| EDR | Собирает и сопоставляет события конечных устройств; помогает расследовать подозрительную активность, определять её охват и реагировать в зависимости от конфигурации. | Проверьте телеметрию и срок хранения, поиск, поддерживаемые системы, изоляцию и потребность в аналитиках. |
| AEP | Некоторые производители используют название Advanced Endpoint Protection (AEP) для интегрированных средств защиты конечных устройств. Сам термин не задаёт единого технического состава. | Отдельно проверьте модули, лицензию, охват агентов и платформ, а также функции реагирования и восстановления. |
| Межсетевой экран | На сетевом уровне или устройстве разрешает либо ограничивает входящий и исходящий трафик по заданным правилам. | Различайте сетевой периметр и локальный экран устройства; выясните, кто управляет правилами трафика. |
| Изоляция приложений и sandbox | Может запускать рискованное приложение или файл в отдельной среде; эта функция не заменяет аналитику событий EDR. | Какие приложения охвачены, как изолированная среда получает доступ к сети и данным и как передаются результаты? |
| Разрешительный список приложений | Может применять правила, разрешающие только определённые приложения или компоненты; охват правил и исключения требуют отдельного управления. | Проверьте приоритет разрешений и блокировок, влияние обновлений, владельца, согласование и срок исключения. |
| Управление мобильными устройствами и MTD | MDM может управлять политиками и настройками мобильного устройства; MTD может анализировать сигналы устройства и соединения. Наличие каждой функции зависит от продукта. | Проверьте распространение политик, блокировку или удаление данных с потерянного устройства, мониторинг внутри корпоративной сети и за её пределами, поддерживаемые ОС и лицензию. |
| Предотвращение вторжений на хосте (HIPS) | Ограничивает активность на хосте по правилам и может дополнять расследование EDR. | Как проверяются совместимость приложений, режимы предупреждения и блокировки, исключения и владельцы правил? |
| Мониторинг целостности файлов (FIM) | Отслеживает изменения выбранных файлов и конфигураций относительно исходного состояния. | Какие объекты контролируются, как определяется автор изменения и учитываются плановые обновления? |
Как средства работают вместе?
Межсетевой экран контролирует трафик, EPP может централизованно управлять базовыми политиками устройств, антивирус проверяет файлы и процессы, а EDR помогает исследовать связанные события. Один продукт может объединять несколько функций, но название пакета само по себе не подтверждает охват. Заранее распределите, кто расследует оповещение, изолирует устройство, сохраняет доказательства и утверждает восстановление.
Известная угроза в файле
Антивирус может заблокировать файл по сигнатуре или репутации; проверьте централизованное управление оповещениями и карантином.
Подозрительное поведение
EDR может сопоставить процесс, пользователя, изменения файлов и системы, помогая аналитику исследовать последовательность событий.
Сетевое соединение
Межсетевой экран применяет правила трафика. При наличии соответствующей телеметрии EDR может связать сетевое событие с процессом на устройстве для расследования.
Сигналы идентификации, почты и облака
EDR показывает события устройства; журналы идентификации, почты и облака могут добавить контекст аккаунта, письма и сервиса. Проверьте, какие источники принимает интеграция XDR или SIEM и в какой пакет входит корреляция.
Перемещение данных и шифрование
DLP может отслеживать передачу данных по политике, а шифрование помогает защищать их содержимое. Рассматривайте полное шифрование диска для защиты данных на потерянном устройстве, а шифрование файлов — для передачи через недоверенный канал. Проверьте восстановление ключей и наличие этих функций отдельно от EDR.
Определите границы дополнительных уровней
Веб-фильтрация, изоляция браузера, почтовый шлюз, контроль доступа к сети, облачные меры, видимость IoT/OT, резервное копирование и очистка файлов на почтовом шлюзе решают другие задачи, чем EDR на конечных устройствах. Определите, где работает каждый уровень, в какой продукт и лицензию он входит и какие данные передаёт в EDR или SIEM.
Подберите решение под задачи организации
Набор средств зависит от задач организации. Регулярно обновляемый антивирус и правила межсетевого экрана могут быть частью защиты небольшого парка, но необходимость дополнительных мер определяется риском и чувствительностью данных, а не только числом устройств. Для многочисленных, удалённых и разнородных устройств важны централизованное управление, инвентаризация и единые политики. EDR особенно полезен, когда есть назначенная команда и процесс расследования и реагирования. Также проверьте совместимость уже установленных средств: агенты, фильтры и политики карантина могут конфликтовать.
Как проверить продукт и поставщика
На демонстрации проверяйте конкретный сценарий на ваших устройствах, а не только общие названия функций. Письменно уточните возможности, лицензии, интеграции и операционную ответственность.
Уточните поддерживаемые устройства и требования к агентам
Отдельно уточните поддержку Windows, macOS, Linux, мобильных устройств, серверов и неуправляемого IoT, а также требования к агентам и консоли.
Проверьте телеметрию и поиск
Какие события процессов, файлов, входов, системы и сети сохраняются? Как долго, можно ли их экспортировать и искать по всем устройствам?
Проверьте удалённое управление и автоматизацию
Проверьте RMM, маршрутизацию оповещений, изоляцию, исключения и автоматические действия; убедитесь, что каждый шаг отражается в журнале аудита.
Оцените нагрузку команды и стоимость
Помимо лицензии оцените внедрение, хранение данных, интеграции, обучение, проверку ложных оповещений и ресурсы для реагирования вне рабочего времени.
Проверьте списки разрешений и блокировки
Проверьте сценарии ошибочной блокировки одобренного приложения и блокировки известного вредоносного файла. Уточните область списков разрешений, приоритет правил блокировки, порядок согласования исключений, их владельца и срок действия; убедитесь, что изменения фиксируются в журнале аудита.
Оцените настройку и нагрузку на устройства
Проведите пилот на типичной группе устройств: проверьте совместимость агентов, время внедрения, трудоёмкость настройки и поддержки политик, а также загрузку процессора, памяти и диска. Отслеживайте ложные оповещения и влияние на рабочие приложения; документируйте причину и владельца каждого исключения.
Проведите приёмочную проверку по сценарию
Создайте тестовое оповещение, расследуйте его, изолируйте устройство, экспортируйте записи и восстановите связь. Зафиксируйте, что сделал продукт, а что — команда.
Отдельно проверьте удалённые и нестандартные устройства
Убедитесь, что мобильные, удалённые, облачные, OT- и IoT-устройства включены в инвентарь, передают нужные данные и подпадают под определённую политику. Сверьте устройства и протоколы с опубликованным списком поддержки поставщика.
Составьте карту управления, политик и модулей EPP
Уточните, какие функции входят в предложение: сигнатурная защита от вредоносного ПО, контроль эксплойтов и учётных данных, веб-фильтрация, политики пользователей и устройств, правила приложений и USB, DLP, шифрование, планирование проверки уязвимостей и обновлений, аудит, оповещения, исключения и устранение последствий. Также уточните охват и дату обновления источников киберразведки. Попросите показать точечные правила приложений, анализ первопричины на связанных устройствах и масштабирование при росте парка. Проверьте откат, остановку процесса и изоляцию узла; не считайте их стандартными, автоматическими или включёнными в лицензию.
Проверьте облако, серверы и автономный режим
Проверьте поддержку серверов, виртуальных, мобильных, OT/IoT- и облачных нагрузок для каждой платформы и лицензии. Попросите показать доставку политик и обновлений удалённым устройствам, работу без связи и обработку телеметрии и команд после восстановления соединения. Проверьте API/SIEM-интеграции и заявленное объединение агентов в пилоте.
Уточните обязанности по консоли и хостингу
Попросите показать аудит, оповещения, отчёты об исключениях, изменение политик и массовые обновления в консоли, а также определить ответственных. Письменно уточните, кто следит за телеметрией и оповещениями, где и как долго хранятся данные, какие политики действуют офлайн, что включает лицензия и чем мониторинг безопасности отличается от проверки работоспособности приложений.
Проверьте восстановление и защиту почтовых вложений
Проверьте частоту резервного копирования, поиск по метаданным, права восстановления и возможность самостоятельного восстановления пользователем; выполните тест восстановления. Уточните, на каком почтовом шлюзе и для каких типов файлов работает их очистка, а также интеграции с сетевыми и облачными средствами. Не считайте эти функции частью endpoint-защиты или автоматическим восстановлением.
Примеры продуктовых семейств
Эти продукты предлагают разные подходы к защите устройств, расследованию и управлению. Сопоставьте их с парком устройств, работой аналитиков и необходимыми интеграциями.
Xcitium
Платформа Xcitium предлагает антивирус, поведенческий анализ VirusScope, EDR, предотвращение вторжений на хосте, межсетевой экран и управление устройствами. Попросите показать в предлагаемом пакете анализ файлов, интеграцию с SIEM, визуализацию цепочки атаки и дерева процессов, поиск событий и поиск угроз. Отдельно уточните актуальное название пакета, поддержку платформ и состав лицензии.
Symantec Endpoint Security Complete
Единый агент и консоль управления объединяют сокращение поверхности атаки, профилактические меры, EDR, Threat Hunter и технологии обмана злоумышленников (deception). Уточните поддерживаемые платформы, вариант развёртывания и охват интеграций в предложении.
Trellix Endpoint Security (HX)
Trellix Endpoint Security (HX) продолжает семейство FireEye Endpoint Security. Продукт включает оповещения, расследование на устройствах, Enterprise Search и сбор данных. Проверьте требуемые версии агента, ОС, роль и лицензию для поиска.
Чем сервис защиты конечных устройств отличается от антивируса?
Сервис защиты конечных устройств может объединять несколько средств в одной платформе; некоторые предложения также включают мониторинг специалистами и реагирование. Уточните, означает ли слово «сервис» программную платформу, управляемую работу команды или оба варианта. Таблица показывает типичные вопросы; фактический охват зависит от предложения и лицензии.
| Параметр | Антивирус | Сервис/платформа защиты конечных устройств |
|---|---|---|
| Обнаружение | Известные сигнатуры и шаблоны файлов, а в некоторых продуктах — дополнительный анализ поведения. | Уточните, какие сочетания сигнатур, поведения, репутации и телеметрии включены. |
| Охват | Проверка одного устройства или централизованно управляемого парка; поддержку платформ нужно проверять. | Какие системы Windows, macOS, Linux, серверы, мобильные устройства и облачные нагрузки поддерживаются? |
| Видимость | Результаты и журналы на устройстве; проверьте, доступна ли централизованная отчётность. | Попросите показать, какие события устройств, пользователей, процессов и сети сопоставляет консоль. |
| Реагирование | Блокировка, карантин и очистка зависят от продукта и политики. | Проверьте изоляцию, расследование, устранение последствий и восстановление, включая автоматические действия. |
| Модель эксплуатации | Агент и локальная политика на устройстве; определите ответственность за обновления и настройку. | Могут использоваться агент, центральная консоль или управляемая услуга; уточните роли внедрения, мониторинга и реагирования. |
| Отчётность и интеграция | Статус обновлений и журналы обнаружения; проверьте экспорт и интеграцию с SIEM. | Проверьте хранение, экспорт, роли отчётности, интеграции SIEM/SOAR и идентификации, а также доплаты. |
Частые вопросы
Ответы на частые вопросы при выборе.
Какие угрозы может выявлять EDR?
EDR может выявлять подозрительные закономерности в событиях процессов, файлов, системы и сети, известные индикаторы, а в некоторых продуктах — необычное поведение. Результат зависит от телеметрии, правил, политики и поддерживаемых устройств; это не гарантия обнаружения всех угроз.
Какие данные собирает EDR?
Состав зависит от агента и политики. Могут собираться сведения о процессах, изменениях файлов и системы, входах пользователей и адресах сетевых соединений; не следует заранее предполагать сбор содержимого страниц или передаваемых данных. Проверьте перечень телеметрии, срок хранения, экспорт, правила конфиденциальности и ролевой доступ.
Может ли EDR предотвратить атаку?
Некоторые конфигурации EDR могут блокировать обнаруженную активность, останавливать процесс или изолировать устройство, что помогает ограничить ущерб. Возможности зависят от политики и времени реагирования и не гарантируют предотвращение всех атак. Используйте EDR вместе с обновлениями, контролем доступа, межсетевым экраном и планом восстановления.
Заменяет ли EDR межсетевой экран?
Нет. Межсетевой экран применяет правила трафика, а EDR отслеживает события устройств и помогает расследовать инциденты и реагировать. Некоторые платформы включают обе функции, но охват каждой нужно проверять отдельно.
Нужен ли антивирус при наличии EDR?
Пакет EDR может включать антивирусный модуль, но это не относится ко всем EDR. Перед удалением действующего антивируса проверьте сканирование файлов, блокировку, карантин и управление в предлагаемом решении, лицензию и правила совместимости производителей.
Может ли EDR защищать серверы?
Некоторые продукты поддерживают серверы, другим нужны отдельный агент, лицензия или политика. Проверьте поддержку версий Windows, macOS, Linux и BSD, рабочую нагрузку, лицензию и телеметрию.
Может ли небольшая команда использовать EDR?
Да, если есть ответственный сотрудник или служба для проверки оповещений и управления изоляцией. Заранее оцените необходимое время и график дежурств.
Какие устройства считаются конечными точками?
К конечным устройствам могут относиться рабочие компьютеры, серверы, телефоны, планшеты, сетевые принтеры и POS-терминалы. Включите OT, IoT и облачные рабочие нагрузки в инвентарь, затем проверьте поддержку конкретных устройств и систем у поставщика.
Нужна ли защита конечных устройств малому бизнесу?
Подбирайте охват с учётом числа устройств, удалённого доступа, хранимых данных и времени ответственного за оповещения. Если предлагается управляемая услуга, письменно уточните, кто проверяет оповещения и отвечает за меры реагирования.
Почему расширяют EDR до XDR?
EDR показывает события конечных устройств; XDR может сопоставлять сигналы конечных устройств, сети, почты и облака из разных продуктов или сервисов. Проверьте подключённые источники, лицензию и объём аналитической работы в предложенном XDR.
Использует ли поведенческое обнаружение ИИ?
Некоторые продукты используют поведенческие правила или модели машинного обучения, другие — иные методы. Уточните собираемую телеметрию, порядок подтверждения оповещений и то, как аналитик может проверить решение.
Входят ли OT- и IoT-устройства в защиту конечных точек?
Учитывайте их в инвентаре и сетевой схеме, но отдельно проверьте поддержку агента, протокола и политики для конкретной модели. Для устройства без агента оцените сегментацию, ограничение доступа и сетевой мониторинг.