Главная мысль
EDR отслеживает признаки атак и поведение устройства, а DLP — категории данных и нарушения политик. Не считайте одну систему заменой другой.
Две разные задачи безопасности
EDR отслеживает процессы, файлы, действия пользователей и сетевую активность на защищаемых ноутбуках, серверах и других конечных устройствах, чтобы выявлять и исследовать подозрительное поведение и поддерживать такие меры, как изоляция устройства. DLP классифицирует чувствительные данные и применяет правила их хранения, использования и передачи. Обе системы могут использовать агент, но их основной объект контроля различается: для EDR это угроза и поведение системы, для DLP — данные и политика.
Сравните охват по одним критериям
EDR может помочь установить, как началось событие и как оно распространялось между устройствами. DLP может применять правила к данным в хранилище, сетевом трафике и при использовании. Фактический охват DLP зависит от агентов, приложений, облачных сервисов, каналов и настройки правил; охват EDR — от подключённых устройств и телеметрии. Проверьте каждый нужный канал на тестовых файлах с назначенным классом данных.
| Критерий | EDR | DLP |
|---|---|---|
| Основной объект | Активность конечных устройств и признаки угроз | Классифицированные чувствительные данные и правила |
| Типичный вопрос | Какой подозрительный процесс запущен на устройстве и есть ли признаки атаки? | Кто, где и каким способом может передать эти данные? |
| Пример реагирования | Изолировать устройство, остановить процесс и изучить следы активности | Заблокировать передачу, предупредить пользователя или передать событие на разбор |
| Ответственные | Команды безопасности и администрирования конечных устройств | Владелец данных и специалисты по безопасности, конфиденциальности и соответствию требованиям |
Выбирайте по сценарию инцидента
Часто разумно использовать оба средства. Например, при атаке с программой-вымогателем злоумышленник копирует чувствительные файлы с заражённого устройства по сети. EDR может исследовать процессы и сетевое поведение и помочь изолировать устройство; DLP — применять правила передачи к чувствительным файлам. Проверьте, какие данные и каналы охватывает правило DLP, какие события собирает агент EDR, какие оповещения поступают в SIEM и кто руководит реагированием.
Определите данные
Перечислите данные, на которые распространяются обязательные требования, персональные и важные для бизнеса данные, места их хранения и тех, кому доступ нужен для работы.
Проверьте сценарий и канал
Подготовьте безопасные тесты с искусственными данными для почты, отправки файлов через браузер, USB, обмена в SaaS и действий на конечном устройстве. Проверьте, какие действия система регистрирует, блокирует и сопровождает уведомлением пользователя.
Согласуйте расследование и исключения
Определите разрешённые рабочие процессы, кто разбирает ложные срабатывания и согласует срочные исключения, какие действия фиксируются в журнале и как долго хранятся данные.
Проверьте и настройте политику
Уточните, по каким правилам распознаются чувствительные данные, учитывается ли контекст пользователя и приложения, блокируется ли событие или только регистрируется и как это объясняется пользователю. Слишком широкая блокировка мешает работе; слабая классификация, зашифрованные архивы и неподдерживаемые каналы создают пробелы. Оцените результаты правила при пробном внедрении и настройте его с владельцем данных.
Свяжите EDR и DLP в рабочем процессе
Если оповещение EDR и срабатывание правила DLP связаны с одним пользователем или файлом, рассматривайте их в рамках одного расследования. Проверьте чувствительность данных, находится ли устройство под управлением организации, канал передачи и ответственного за бизнес-процесс. Срабатывание DLP само по себе не доказывает злой умысел, а сигнал EDR не доказывает, что данные покинули организацию; изучайте оба сигнала в контексте.
Частые вопросы
Краткие ответы о том, какие разные риски контролируют EDR и DLP.
Заменяет ли EDR систему DLP?
Нет. EDR помогает расследовать подозрительную активность на конечных устройствах, а DLP применяет правила использования и передачи чувствительных данных.
DLP работает только на конечных устройствах?
Нет. В зависимости от продукта могут контролироваться использование данных, сетевые передачи, облачные приложения и файлы в хранилищах. Проверьте фактические каналы.
Обеспечивает ли DLP соответствие требованиям сама по себе?
Нет. DLP может поддерживать отдельные меры контроля данных, но организация должна отдельно оценивать все требования применимых стандартов.