მთავარი დასკვნა
EDR აგენტის სასარგებლოდ გამოსაყენებლად მისი სიგნალები გამოძიებისა და რეაგირების პროცესებს დაუკავშირეთ და წინასწარ განსაზღვრეთ შესაძლო მოქმედებები და შეგროვებული მტკიცებულებები.
აგენტის როლი და ხილვადობა
ბოლო მოწყობილობებზე საფრთხეების აღმოჩენისა და რეაგირების (EDR) აგენტი კომპიუტერებსა და სერვერებზე აკვირდება აქტივობას, მათ შორის პროცესების გაშვებას, ფაილის ცვლილებებს, რეესტრის აქტივობასა და ქსელურ კავშირებს. ქცევისა და ანომალიების ტელემეტრია უსაფრთხოების გუნდს ინციდენტის მასშტაბისა და მიზეზის შესწავლაში ეხმარება. ზოგი ხელსაწყო კრიმინალისტიკურ მონაცემებსაც აგროვებს, მაგალითად ჟურნალებს, ფაილის ჰეშებსა და სისტემის ანაბეჭდებს; ორგანიზაციებმა შეგროვებისა და შენახვის პრაქტიკა წინასწარ უნდა შეაფასონ.
აღმოჩენისა და რეაგირების მოქმედებები
აგენტს შეუძლია საეჭვო აქტივობაზე გაფრთხილება და გამოძიებისთვის ცენტრალიზებული კონტექსტის მიწოდება. ხელსაწყოს შესაძლებლობებისა და კონფიგურაციის მიხედვით რეაგირება შეიძლება მოიცავდეს ბოლო მოწყობილობის ქსელიდან იზოლაციას, მავნე პროცესის შეჩერებას ან აღდგენის ნაბიჯების დაწყებას. შეამოწმეთ, რომელი სიგნალი რთავს ავტომატიზაციას, საჭიროა თუ არა თანხმობა და როგორ მოქმედებს ნაბიჯი მომხმარებლებზე. ავტომატური რეაგირება ორგანიზაციის დამტკიცებულ ინციდენტის პროცესს არ ცვლის.
როგორ ავსებს EDR ანტივირუსს
ანტივირუსი მავნე პროგრამების აღმოჩენასა და დაბლოკვაზეა ორიენტირებული; თანამედროვე ხელსაწყოებმა შეიძლება ხელმოწერებთან ერთად ქცევითი ანალიზიც გამოიყენოს. EDR ბოლო მოწყობილობის მოვლენების დაკავშირებაში, აქტივობის გამოძიებასა და რეაგირების შერჩევაში გეხმარებათ. შესაძლებლობები შეიძლება გადაფარავდეს ერთმანეთს, ამიტომ EDR ანტივირუსის ავტომატურ შემცვლელად არ უნდა მიიჩნიოთ. შეფასებისას შეადარეთ უსაფრთხოების ინფორმაციისა და მოვლენების მართვის (SIEM) სისტემებსა და ქსელურ ეკრანებთან ინტეგრაცია და ინციდენტების ჩანაწერები.
რა შეაფასოთ დანერგვამდე
შეამოწმეთ აგენტის თავსებადობა თქვენს ოპერაციულ სისტემებსა და ჰიბრიდულ გარემოსთან, მართვის მასშტაბირება მოწყობილობების ზრდისას და აქტივობის მონაცემთა შენახვის ვადა. განსაზღვრეთ როლები, გაფრთხილების ესკალაცია, მოწყობილობის იზოლირების უფლებამოსილება და აღდგენაზე პასუხისმგებლობა. ინციდენტის სავარჯიშოში დააკვირდით აგენტის ტელემეტრიას, ანალიტიკოსის მიერ მის შესწავლასა და არჩეული რეაგირების შექცევადობას.