Главная мысль
До начала пилота зафиксируйте устройства, критерии, безопасные сценарии и условия остановки. Сравнивайте результаты с действующими средствами контроля.
Цели и границы пилота
Определите цель пилота по задачам бизнеса, бюджету и инвентарю. Выберите представительные ОС, удалённых пользователей и важные приложения; согласуйте безопасную лабораторию, тестовые данные, ответственных и условия остановки. Документируйте результаты по этим направлениям и семи вопросам.
| Направление пилота | Безопасный сценарий проверки | Данные для принятия решения |
|---|---|---|
| Охват и связь | Подключите типичное для вашей среды удалённое устройство и проверьте повторное подключение после разрыва связи. | Соответствие инвентарю, время последнего подключения и ограничения функций при отсутствии связи. |
| Наблюдение и реагирование | Создайте безвредное событие и проверьте согласованное действие реагирования. | Задержка оповещения, хронология событий, запись о согласовании и фактический результат. |
| Работа приложений и пользователей | Выполните типичный рабочий сценарий в приложении. | Ложные срабатывания, влияние на пользователей и измеренная производительность. |
| Эксплуатация и автоматизация | Проверьте согласованный процесс, включая сценарий сбоя. | Запись о задаче, журнал действий, порядок эскалации и результат отката. |
1. Как защищаются удалённые устройства?
Попросите показать архитектуру и возможности для устройств вне офиса. Проверьте связь без VPN, защиту при отключении, восстановление подключения и удалённый ответ. Различайте требования к личным и корпоративным устройствам.
2. Что показывают независимые оценки?
Уточняйте дату, версию, метод и охват клиентских отзывов и независимых тестов. Сопоставляйте их со своим сценарием. Отзыв может подсказать практический вопрос; проверяйте его измеримым результатом в пилоте.
3. Как оцениваются неизвестные угрозы?
Спросите о машинном обучении, поведении и анализе неизвестных файлов. Используйте согласованный безопасный сценарий в изоляции. Запишите объяснение решения, ложные срабатывания, действия до и после исполнения и экспертную проверку. Безвредный тест проверяет выбранный процесс и телеметрию; он не доказывает обнаружение всех неизвестных угроз.
4. Достаточна ли видимость EDR?
Проверяйте временную линию, дерево процессов, устройство и пользователя. Измеряйте задержку, поиск данных аналитиком, задачи и интеграцию SIEM. Сохраняйте подтверждение того, кто согласовал и выполнил изоляцию или другой ответ.
5. Как обрабатываются exploit и бесфайловые сценарии?
Уточните, какие сигналы создаёт атакующее поведение через доверенные программы и скрипты. В согласованной изолированной лаборатории безвредной симуляцией проверяйте видимость, блокировку и ответ. Не выполняйте реальную эксплуатацию в производственных системах; отдельно оценивайте обновления и настройки.
6. Что делает ключевая функция защиты?
Проверьте отличительную функцию на важном рабочем процессе. Измеряйте влияние containment, блокировки поведения или другого механизма на приложения. Проверяйте разрешения и журналы для исключения, освобождения файла и отката.
7. Как управляется автоматизация?
Отдельно проверяйте автоматическое обнаружение, расследование и исправление. Автоматизируйте низкорисковые задачи, задавая согласование значимых действий. Тестируйте процесс, журнал, эскалацию ошибок и откат. После пилота зафиксируйте результаты, пробелы и решение.