Главная мысль
Сначала сопоставьте инвентаризацию устройств с консолью EDR. Отслеживайте время последнего подключения, версию агента и владельца; проверьте изоляцию и восстановление.
Что означает подключение EDR
EDR собирает телеметрию безопасности, помогает расследовать подозрительную активность и реагировать. Можно использовать платформу или связанные инструменты; важно, чтобы путь от устройства к аналитику и команде ответа работал. Вместе с антивирусом, firewall и VPN оценивайте процессы, события, оповещения и действия ответа.
Управление удалёнными устройствами
Удалённое устройство может быть личным и работать через публичную сеть. Учитывайте владельца, управление и политику. Проверяйте передачу сигналов агентом вне VPN, локальную защиту при потере связи и восстановление подключения. Управляйте удалённым доступом и защитой устройства как отдельными мерами.
Охват разных классов устройств
Учитывайте телефоны, планшеты, принтеры и IoT вместе с компьютерами. Сверяйте консоль EDR с инвентарём, отслеживайте версию агента, последнее подключение и пробелы сигналов. Для поддерживаемых устройств задавайте политику агента, для остальных — прошивку, доступ и сегментацию.
Сбор, анализ и реагирование
Реагирование EDR требует проверенного пути от сигнала устройства до восстановления работы. Связывайте данные разных инструментов с одним событием и задачей.
Сопоставьте устройство
Сопоставьте устройство, передающее данные, с записью об активе и его пользователе в инвентаре. Время последнего подключения и состояние агента помогают выявить устройства, оставшиеся без наблюдения.
Проверьте сигнал и ответственного
Передайте безвредный тестовый сигнал, проверьте его доставку, назначьте ответственного за расследование и определите порядок эскалации, чтобы предупреждение не осталось без внимания.
Подтвердите результат реагирования
Согласуйте поддерживаемое действие реагирования с уполномоченным сотрудником и проверьте фактическое состояние устройства. При отсутствии связи возможности ограничены: команда изоляции в очереди ещё не означает, что устройство изолировано.
Восстановите работу
Восстановите работу устройства и сервиса по согласованной процедуре. Проверьте результат и сохраните запись о задаче, принятые решения и подтверждающие данные для передачи коллегам и последующего разбора.
Резервирование и восстановление
Для важных данных задайте сроки хранения и цели восстановления. Храните защищённые автономные или подходящие неизменяемые копии с отдельными правами доступа; локальное и облачное размещение либо синхронизация сами по себе не обеспечивают устойчивость к компрометации. Отслеживайте сбои резервирования и проверяйте восстановление файлов и целых устройств в чистую среду. План реагирования должен описывать возобновление работы после изоляции.