მთავარი დასკვნა
EDR‑ს შეუძლია პროცესებისა და დაკავშირებული მოვლენების გამოკვლევის დახმარება, შეტყობინებების გაცემა და ზოგჯერ ბოლო მოწყობილობის იზოლაცია. დაკვირვებადი დაფარვა ტელემეტრიაზე, წესებსა და კავშირზეა დამოკიდებული; გუნდის რეაგირების სისწრაფე უკვე აღმოჩენილი აქტივობის გავლენაზე მოქმედებს.
EDR‑ის როლი: დანახვა, გამოკვლევა, რეაგირება
გამოსასყიდის მომთხოვნი პროგრამის ინციდენტი შეიძლება ფიშინგით, მოპარული ანგარიშით, ინტერნეტიდან ხელმისაწვდომი სისტემის სისუსტით ან სხვა წვდომის გზით დაიწყოს. წვდომის მიღების შემდეგ თავდამსხმელმა შეიძლება პრივილეგიების ამაღლება სცადოს, ქსელში გადაადგილდეს, ფაილებსა და სარეზერვო ასლებს დაუმიზნოს, შემდეგ მონაცემები დაშიფროს ან გამჟღავნებით დაემუქროს. EDR‑ის როლია ბოლო მოწყობილობის აქტივობის ხილულად ქცევა, მოვლენების კორელაცია და ორგანიზაციის გამოკვლევისა და რეაგირების მხარდაჭერა.
შეტევის ეტაპები და დაგვიანებული აღმოჩენა
პირველად წვდომასა და დაშიფვრას შორის დრო იცვლება; ფიქსირებულ დაყოვნების პერიოდს ნუ ივარაუდებთ. გამოიკვლიეთ ადმინისტრატორის მოულოდნელი აქტივობა, ახალი პროცესები და კავშირები, უჩვეულო შესვლები, ფაილებზე მასობრივი წვდომა და სარეზერვო ასლებში ჩარევა. ტელემეტრიის შენახვა რისკის მიხედვით განსაზღვრეთ და ესკალაციის კრიტერიუმები დაადგინეთ პრივილეგიის ამაღლებისთვის, თავდამსხმელის სისტემებს შორის გადაადგილებისა და ფაილების მასობრივი ცვლილებისთვის.
ქცევა და მანქანური სწავლება
ქცევითი წესები და მანქანური სწავლება შეიძლება ცნობილი ფაილის სიგნატურის გარეშე პროცესის გამოკვლევას დაეხმაროს. მოდელები განსხვავდება; ყველა თითოეული მომხმარებლისა და მოწყობილობის საბაზისო პროფილს არ ადგენს. იკითხეთ სასწავლო და შეფასების მონაცემებზე, განახლებებზე, მცდარ შეტყობინებებსა და გამოტოვებულ აღმოჩენებზე და ანალიტიკოსთა მიერ გადაწყვეტილებების გადახედვაზე. „AI“ დასახელება აღმოჩენის ხარისხს არ ამტკიცებს.
ძიება მთელ პარკში და საფრთხეებზე პროაქტიული ძიება
გამომკვლევებს სჭირდება ძებნა პროცესებში, ფაილებში, შესვლებსა და ქსელურ მოვლენებში და Windows‑ზე რეესტრის ხელმისაწვდომ მოვლენებში. ფარგლები ოპერაციული სისტემის მხარდაჭერაზე, შეგროვებასა და შენახვაზეა დამოკიდებული. მართვად მოწყობილობებზე ინდიკატორის ძებნა დაკავშირებული აქტივობის შეფასებას ეხმარება. შეამოწმეთ ფილტრები, ექსპორტი, უფლებები და შედეგებიდან რეაგირებამდე გზა.
შეტყობინებები, იზოლაცია და ავტომატური რეაგირება
EDR‑მა შეიძლება ანალიტიკოსებს შეატყობინოს და ზოგ კონფიგურაციაში ბოლო მოწყობილობა ქსელისგან იზოლაციაში მოაქციოს. ქსელური იზოლაცია აპლიკაციის იზოლირებულ გარემოში გაშვებისგან, მტკიცებულებების შენარჩუნებისგან, გაწმენდისა და აღდგენისგან განსხვავდება. შეამოწმეთ იზოლაციის ფარგლები, გამომწვევები, დამტკიცებები და გამონაკლისები, ქმედების აუდიტის ჟურნალები და მცდარი იზოლაციის გავლენა კრიტიკულ სერვისებზე.
ოფლაინ და დისტანციური მუშაობა
VPN‑ის არქონა ინტერნეტთან ან ღრუბელთან კავშირის არქონას არ ნიშნავს. VPN‑ის არქონა და ინტერნეტის ან ღრუბლის გათიშვა ცალ-ცალკე შეამოწმეთ: ადგილობრივი წესები, რიგში დაყენებული ქმედებები, ტელემეტრიის შენახვა და ატვირთვა და გადატვირთვის შემდეგ შენარჩუნება. გამოიყენეთ ნებადართული უსაფრთხო სიმულაციები ლაბორატორიასა და კონტროლირებად საპილოტე გარემოში და არა რეალური გამოსასყიდის მომთხოვნი პროგრამა საწარმოო ქსელში. შედეგები პროდუქტსა და კონფიგურაციაზეა დამოკიდებული.
აღდგენა და ციფრული ექსპერტიზა
EDR‑მა შეიძლება ქრონოლოგია, პროცესების კავშირები და მოვლენების დაფარვა უზრუნველყოს. ანალიტიკოსები იკვლევენ შესვლას, დაზიანებულ სისტემებს, თავდამსხმელის ქმედებებსა და მონაცემთა ხარვეზებს. შეამოწმეთ ექსპორტი და მტკიცებულების მთლიანობა. აღმოფხვრისა და სისუფთავის შემოწმების შემდეგ აღდგენას ცალკე გეგმა და პასუხისმგებელი პირები სჭირდება.
კითხვები მომწოდებლისთვის
რამდენიმე მოწყობილობაზე გამოიყენეთ უსაფრთხო სიმულირებული საეჭვო მოვლენები და ერთი უწყინარი მოვლენა მცდარი შეტყობინებების შესამოწმებლად. ცალ-ცალკე აჩვენეთ VPN‑ის არქონისა და ინტერნეტიდან ან ღრუბლიდან გათიშვის შემთხვევები. მომწოდებელს თითოეულ ნაბიჯზე ტელემეტრიის, ძებნის, შეტყობინების დაყოვნების, იზოლაციის პირობებისა და ანალიტიკოსის ქმედებების დემონსტრაცია მოსთხოვეთ.
ხილვადობა
პროცესის, ფაილის, რეესტრის, შესვლისა და ქსელის რომელი მოვლენები გროვდება? რამდენ ხანს ინახება და სად იძებნება ძველი ჩანაწერები?
ძებნა და პროაქტიული ძიება
როგორ შეუძლია ანალიტიკოსს მართვად მოწყობილობებში საეჭვო პროცესის, მომხმარებლის, ფაილის ან კავშირის ძებნა? ჩანს საფრთხეების ინფორმაციის წყარო და ასაკი?
იზოლაცია და ოფლაინ რეჟიმი
რომელ კავშირებს ბლოკავს ქსელური იზოლაცია და რჩება გამოკვლევის არხი? როგორ მუშაობს აგენტი VPN‑ის გარეშე და როგორ — ინტერნეტის ან ღრუბლოვანი წვდომის გარეშე? რა ემართება რიგში დაყენებულ ქმედებებსა და ტელემეტრიას ხელახალი დაკავშირებისას?
ოპერაციები და აღდგენა
როგორ განიხილება მცდარი შეტყობინებები და რომელ რეაგირებას სჭირდება დამტკიცება? რა გუნდები და ინტეგრაციებია საჭირო ინციდენტის მონაცემთა ექსპორტისთვის, მტკიცებულებების შენარჩუნებისა და სუფთა სარეზერვო ასლიდან აღდგენისთვის?