მთავარი დასკვნა
EDR ანგარიშების წესრიგს, ძლიერ ავთენტიფიკაციასა და შეზღუდულ ნებართვებს შეუთავსეთ; აღმოჩენისა და რეაგირების დაფარვა რეალისტური სცენარებით გადაამოწმეთ.
EDR‑ის მკაფიო მოლოდინები განსაზღვრეთ
EDR ბოლო მოწყობილობის ტელემეტრიას აგროვებს, საეჭვო პროცესებისა და კავშირების აღმოჩენას, მოვლენების გამოძიებასა და მხარდაჭერილი რეაგირების დაწყებას ეხმარება. შედეგები სენსორის დაფარვაზე, პოლიტიკაზე, მონაცემთა ხარისხსა და სამუშაო პროცესებზეა დამოკიდებული. იგი პაროლების, MFA‑ს, ვინაობის სასიცოცხლო ციკლისა და რესურსის ნებართვების ცალკე კონტროლს არ ცვლის. EDR ბოლო მოწყობილობის კონტროლად გამოიყენეთ ანგარიშის, ვინაობისა და აპლიკაციის დაცვასთან ერთად.
დააკავშირეთ ანგარიშისა და მოწყობილობის სიგნალები
წარუმატებელი ან სარისკო შესვლები, პრივილეგიის ცვლილებები, უჩვეულო პროცესები და ახალი მოწყობილობები ერთობლივად გამოიკვლიეთ. საერთო მოვლენათა ნაკადში დროის, მომხმარებლის, მოწყობილობისა და რესურსის იდენტიფიკატორები შეინარჩუნეთ; განიხილეთ ჩვეულებრივი ანგარიშის მოულოდნელი ადმინისტრაციული აქტივობა და უცნობი მოწყობილობიდან წვდომა. სიგნალებს კონტექსტი სჭირდება: მოგზაურობამ, ცვლებმა და ტექნიკურმა ცვლილებებმა მცდარი განგაში შეიძლება წარმოშვას. ეჭვის დადასტურებისას ანგარიშის შესაზღუდად და მოწყობილობის იზოლაციისთვის დამტკიცებულ პროცესს მიჰყევით.
გადაამოწმეთ დაფარვა და რეაგირება
გადაამოწმეთ ინვენტარის მოწყობილობების EDR‑ში რეალური რეგისტრაცია, სენსორების გამართულობა, ჟურნალების გადაგზავნა და პოლიტიკით სწორი ჯგუფების დაფარვა. კონტროლირებად სცენარებში შეამოწმეთ გაფრთხილების მიმღები, გამოძიების ხელმისაწვდომი მონაცემები და რეაგირების დამტკიცება. ანგარიშის შეზღუდვას, მოწყობილობის იზოლაციასა და აღდგენას მფლობელები დაუნიშნეთ. შედეგები აღრიცხეთ, გამორჩენილი მოწყობილობები დაარეგისტრირეთ და აღმოჩენიდან დამტკიცებულ რეაგირებამდე გზა აკონტროლეთ.
MFA და EDR რეაგირების პროცესში დააკავშირეთ
ავტორიზაციის მონაცემების ქურდობისას ბოლო მოწყობილობის პროცესები და ვინაობის პროვაიდერის შესვლის ჟურნალები ორ განსხვავებულ მტკიცებულებათა ნაკადს ქმნის. დახარისხებისას ერთ დროის ხაზზე დააკავშირეთ ბოლო შესვლები, MFA მეთოდი და გადაყენების ისტორია მოწყობილობის პროცესის, ფაილისა და ქსელის მოვლენებთან, სამიზნე რესურსებსა და ცვლილებებთან. კავშირის დადასტურებისას ინსტრუქციით შეზღუდეთ ანგარიში, გააუქმეთ ტოკენები, მოწყობილობა იზოლაციაში მოაქციეთ და მფლობელს აცნობეთ. ანგარიშისა თუ სესიის რეაგირების დაგეგმვამდე გადაამოწმეთ ვინაობის პროვაიდერისა და აპლიკაციის ინტეგრაციები და მოქმედების უფლებები. ტოკენის გაუქმების შემდეგ თითო აპლიკაციის აქტიური სესია შეამოწმეთ; ინტეგრაციის დაფარვამ და სესიის მოქმედებამ რეაგირება შეიძლება შეზღუდოს.