მთავარი დასკვნა
EDR ბოლო მოწყობილობის ტელემეტრიაზეა აგებული: მოწყობილობის მოვლენების შეგროვება, საეჭვო აქტივობის გამოკვლევა და რეაგირების კოორდინაცია. დაფარვა, შენახვა, ავტომატიზაცია და ინტეგრაციები ცალკე მოთხოვნებად შეაფასეთ.
რა არის EDR და რას ფარავს
EDR ბოლო მოწყობილობებზე აღმოჩენასა და რეაგირებას ნიშნავს. ეს პროგრამა და ბოლო მოწყობილობის უსაფრთხოების შესაძლებლობაა და არა ცალკე ქსელური აპარატი; დანერგვამ შეიძლება აგენტი, ჩაშენებული სენსორი ან პროდუქტის მიერ მხარდაჭერილი სხვა მეთოდი გამოიყენოს. ბოლო მოწყობილობა ქსელთან დაკავშირებული მოწყობილობა ან სისტემაა: ლეპტოპი, დესკტოპი, სმარტფონი, პლანშეტი, სერვერი, ზოგი ღრუბლოვანი სისტემა ან IoT მოწყობილობა. ქსელური პრინტერები, კამერები, ტელევიზორები და სენსორებიც შეიძლება ბოლო მოწყობილობები იყოს, თუმცა ეს დესკტოპის EDR აგენტის მხარდაჭერას არ ნიშნავს. EDR ჩვეულებრივ მუდმივ მონიტორინგსა და გამოკვლევას უზრუნველყოფს; ცალკე მოთხოვნით სკანირების ფუნქცია პროდუქტზეა დამოკიდებული. EDR ამ გარემოში მოვლენებს აკვირდება, უჩვეულო ქცევის ამოცნობას ეხმარება და უსაფრთხოების გუნდს შეტყობინებებსა და რეაგირების ხელსაწყოებს შეიძლება აწვდიდეს. ანალიტიკის სიღრმე, საფრთხეების ინფორმაციის ინტეგრაცია და მხარდაჭერილი მოწყობილობები და ოპერაციული სისტემები პროდუქტისა და ლიცენზიის მიხედვით იცვლება.
აღმოჩენიდან გამოკვლევამდე
EDR პლატფორმა ბოლო მოწყობილობის მოვლენებს აღრიცხავს და საეჭვო მიმდევრობებს ქცევითი ანალიტიკით, წესებით ან ცნობილი საფრთხის ინდიკატორებით ავლენს. სიგნატურაზე დაფუძნებულმა აღმოჩენამ ცნობილი ფაილები და ინდიკატორები შეიძლება შეადაროს; ქცევითი ანალიზი ქმედებების საეჭვო მიმდევრობებს ან ჩვეულებრივი აქტივობიდან გადახრებს იკვლევს, ევრისტიკული წესები კი — საეჭვო კოდისა თუ აქტივობის ნიმუშებს. მანქანურ სწავლებას ნიმუშების პოვნა და მოვლენათა დიდი ნაკრებების პრიორიტეტიზაცია შეუძლია, თუმცა შედეგები მონაცემებსა და კონფიგურაციაზეა დამოკიდებული. ანალიტიკოსი შეტყობინებას კონტექსტში ამოწმებს, დაკავშირებულ მოწყობილობისა და მომხმარებლის აქტივობას განიხილავს და მასშტაბსა და გადაუდებლობას აფასებს. ავტომატური პირველადი შეფასებისა თუ პროაქტიული ძიებისას რეაგირების გეგმაში განსაზღვრეთ, რომელი შეტყობინებები უნდა გადაამოწმოს ანალიტიკოსმა. ტელემეტრია ეხმარება აჩვენოს, რა მოხდა შეტყობინებამდე და შემდეგ, გამოიკვლიოს მიზეზი და შეაფასოს შესაძლო გავრცელება. Cybereason თავის კორელირებულ შეტევის ისტორიას MalOp‑ს უწოდებს; SentinelOne‑ში Storyline ID დაკავშირებული მოვლენების ჯგუფის პოვნას უწყობს ხელს. შეამოწმეთ, რომელ ძირითად ჩანაწერებს მოიცავს თითოეული ხედი.
დააკვირდით
ბოლო მოწყობილობის მოვლენები პროცესებიდან, ფაილებიდან, მომხმარებლებისა და ქსელური აქტივობიდან გროვდება; შერჩეული ტელემეტრია ორგანიზაციის საჭიროებებს უნდა შეესაბამებოდეს.
გადახედეთ საეჭვო აქტივობას
ანალიტიკა და წესები გადასახედ მოვლენებს განსაზღვრავს. მაგალითად, აპლიკაციის უჩვეულო გამავალი კავშირი, უნებართვო წვდომის მცდელობა, კონფიგურაციის ცვლილება ან მოკლე დროში მრავალი ფაილის შეცვლა გამოკვლევას შეიძლება იმსახურებდეს. ანალიტიკოსი შეტყობინების კონტექსტს, დაკავშირებულ მოვლენებსა და შესაძლო გავლენას ამოწმებს; ხილვადობა შეგროვებულ ტელემეტრიასა და წესებზეა დამოკიდებული.
შეზღუდეთ გავლენა და ისწავლეთ
რეაგირების პოლიტიკის მიხედვით მოწყობილობა შეიძლება იზოლაციაში გადავიდეს, პროცესი გაჩერდეს ან ფაილი კარანტინში მოხვდეს. ინციდენტის შემდეგ აღრიცხეთ შედეგი, გადახედეთ აღმოჩენის წესებსა და რეაგირების გეგმას და საჭიროებისას განაახლეთ ანალიტიკოსისა თუ მომხმარებლის სწავლება.
ბოლო მოწყობილობის ხილვადობა და გამოკვლევის მონაცემები
EDR გამოკვლევა შეიძლება მოიცავდეს პროცესის შექმნას, აპლიკაციის გაშვებას, ფაილის ცვლილებებს, რეესტრის ოპერაციებს, დისკისა და მეხსიერების გამოყენებას, ქსელურ კავშირებსა და DNS მოთხოვნებს. იმ მომენტში აქტიურმა და ირიბად დაკავშირებულმა მომხმარებლის ანგარიშებმა, ადმინისტრაციულმა ხელსაწყოებმა, არქივებმა და მოსახსნელი მატარებლის გამოყენებამ კონტექსტი შეიძლება დაამატოს. ეს წყაროები ტელემეტრიის გეგმაში შეარჩიეთ, შემდეგ დანერგვამდე შეამოწმეთ შენახვის ვადა, კონსოლში ახალი მოვლენების გამოჩენამდე დაგვიანება და რომელი ჩანაწერებია ძებნადი.
სისტემის აქტივობა
გამოკვლევები შეიძლება მოიცავდეს პროცესებსა და აპლიკაციებს, ფაილისა და რეესტრის ცვლილებებს, დრაივერების ჩატვირთვას და დისკისა და მეხსიერების მოვლენებს. საეჭვო PowerShell გამოყენება და პროცესში ინექცია გამოსაკვლევი სცენარების მაგალითებია; ხილვადობა შერჩეულ ტელემეტრიასა და პლატფორმაზეა დამოკიდებული.
კავშირები და იდენტობა
ბოლო მოწყობილობიდან ხილული მისამართები, DNS მოთხოვნები, ვებმისამართებზე წვდომა, კავშირები და დაკავშირებული ანგარიშები გამოკვლევას შეიძლება დაეხმაროს. ქსელური სენსორები შეიძლება ტრაფიკის სხვა წერტილებს აკვირდებოდეს; დისტანციური, ღრუბლოვანი და უმართავი მოწყობილობები ხილვადობის ხარვეზებს მაინც ტოვებდეს.
ხელსაწყოები და მატარებლები
ადმინისტრაციულ ხელსაწყოებთან, არქივის ფაილებსა და მოსახსნელ მატარებლებთან დაკავშირებულ მოვლენებს კონტექსტის დამატება შეუძლია.
EDR და SIEM: განსხვავებული ფარგლები, დამატებითი როლები
EDR ბოლო მოწყობილობის დეტალურ მოვლენებზე, ამ მოწყობილობებზე აღმოჩენასა და რეაგირებაზე ფოკუსირდება. SIEM‑ს შეუძლია ქსელების, სერვერების, ღრუბლოვანი გარემოებისა და აპლიკაციების მსგავსი წყაროების ჩანაწერების ცენტრალური შეგროვება, ნორმალიზება და კორელაცია. საჭიროა თუ არა ორივე, მონაცემთა წყაროებზე, აუდიტისა და შენახვის მოთხოვნებზე, გუნდის რესურსსა და გამოკვლევის მიზნებზეა დამოკიდებული. ერთობლივად გამოყენებისას დააკონფიგურირეთ ინტეგრაცია ბოლო მოწყობილობის შეტყობინებების გარემოს სხვა მოვლენებთან შესაჯერებლად.
| განზომილება | EDR | SIEM |
|---|---|---|
| ძირითადი ფარგლები | ბოლო მოწყობილობები და მოწყობილობის მოვლენები. | ინფრასტრუქტურის მრავალი წყარო. |
| მთავარი როლი | ბოლო მოწყობილობის ქცევის გამოკვლევა და რეაგირების მხარდაჭერა. | წყაროთაშორის მონაცემების გაერთიანება და კორელაცია. |
| შერჩევის მოსაზრებები | მოწყობილობის დაფარვა, აგენტის დანერგვა, მოვლენების დეტალები და რეაგირების უფლებამოსილება. | ჟურნალის წყაროები, ნორმალიზება, კორელაცია, შენახვა და ანალიტიკოსის რესურსი. |
რეაგირების ქმედებები და დანერგვის საკითხები
რეაგირება შეიძლება ხელით, დამტკიცებული პოლიტიკით ავტომატურად ან ორივეს კომბინაციით შესრულდეს. შესაძლო ქმედებებია მოწყობილობის იზოლაცია, საეჭვო პროცესის შეჩერება და ფაილის კარანტინში გადატანა. თითოეულმა ქმედებამ სერვისებსა და ბიზნესპროცესებზე შეიძლება იმოქმედოს, ამიტომ წინასწარ განსაზღვრეთ დამტკიცების უფლებამოსილება, გამონაკლისები და უკუგების პროცედურები. აგენტზე დაფუძნებულ პროდუქტებს თითოეულ მხარდაჭერილ ბოლო მოწყობილობაზე აგენტის დაყენების, განახლებისა და დაცვის გეგმა სჭირდება. აგენტის არმქონე მოწყობილობებისთვის შეამოწმეთ, რა ტელემეტრიასა და რეაგირებას იძლევა უაგენტო მონიტორინგი; მოწყობილობის ინვენტარში გამოჩენა სრული ტელემეტრიის ხელმისაწვდომობას არ ნიშნავს. შეამოწმეთ დაყენება, რესურსებზე გავლენა, თავსებადობა, მხარდაჭერილი ოპერაციული სისტემები და დისტანციურ მოწყობილობათა კავშირი. ასევე დაადასტურეთ, მართვა და მონაცემთა შენახვა ღრუბლოვანია, ადგილობრივი თუ ჰიბრიდული, სად ინახება მონაცემები და ვინ არის განახლებებზე პასუხისმგებელი. მცირე გუნდისთვის მთავარი კითხვებია, ვინ გამოიკვლევს შეტყობინებებს, ვინ შეინარჩუნებს რეაგირების პოლიტიკებს და რომელ მონაცემებს სჭირდება ცენტრალური წვდომა.
EDR‑ის რვა საოპერაციო სარგებელი
რვა სფერო შეფასების კრიტერიუმებად გამოიყენეთ: შეტყობინებები, ბოლო მოწყობილობის ხილვადობა, რეაგირება, აუდიტის ჩანაწერები, მართვა, მასშტაბი, ანალიტიკა და ინტეგრაცია.
აღმოჩენა და რეაგირება
ბოლო მოწყობილობის საეჭვო აქტივობაზე შეტყობინებები და დამტკიცებული წესით იზოლაცია გუნდებს გამოკვლევის სწრაფად დაწყებაში შეიძლება დაეხმაროს.
ხილვადობა და ციფრული ექსპერტიზა
მოვლენათა ჩანაწერები და დაკავშირებული პროცესების ხილვადობა აქტივობის აღდგენასა და შესაძლო მიზეზების გამოკვლევას ეხმარება.
გამოსწორება და რისკის შემცირება
ფაილის კარანტინში გადატანის ან პროცესის შეჩერების მსგავსი ქმედებები გავლენის შეკავებას შეიძლება დაეხმაროს; რისკის შემცირება გამართულ გადაწყვეტილებებსა და შესრულებაზეა დამოკიდებული.
აუდიტისთვის მზადყოფნა
კონფიგურირებული პოლიტიკის ფარგლებში ბოლო მოწყობილობის ჩანაწერები და ინციდენტის ისტორია შიდა გადახედვებსა და აუდიტებს შეიძლება დაეხმაროს; მხოლოდ ხელსაწყო შესაბამისობას არ ადგენს.
ცენტრალური მართვა და რესურსების დაგეგმვა
ცენტრალურ კონსოლს მოწყობილობებისა და პოლიტიკების ზედამხედველობის გამარტივება შეუძლია. მცირე გუნდმა უნდა შეამოწმოს, რომ მობილური მოწყობილობები აღრიცხულია, ანგარიშები დაზიანებულ მოწყობილობებსა და ბიზნესგავლენას განსაზღვრავს და გამოკვლევასა და რეაგირებას პასუხისმგებელი პირი ჰყავს. ხარჯის მოდელში ჩართეთ ლიცენზირება, შენახვა, დანერგვა და ანალიტიკოსის დრო.
მასშტაბირებადობა
პოლიტიკები და სიმძლავრე ბოლო მოწყობილობებისა და სამუშაო ადგილების ზრდასთან ერთად შეიძლება გაფართოვდეს; ჯერ ოპერაციული სისტემისა და დანერგვის მხარდაჭერა გადაამოწმეთ.
ანალიტიკა და კონტექსტი
შეტყობინების გადახედვაში ქცევითი სიგნალები და საფრთხეების ინფორმაცია ჩართეთ, რათა ანალიტიკოსებმა უცნობი აქტივობა კონტექსტში შეაფასონ.
უსაფრთხოების საშუალებებთან ინტეგრაცია
SIEM‑სა და SOAR‑თან ინტეგრაციას ბოლო მოწყობილობის მოვლენების სხვა მონაცემთა წყაროებთან კორელაციისა და რეაგირების კოორდინაციის ხელშეწყობა შეუძლია. შეამოწმეთ, რომელი მონაცემები შეიძლება გაცვალოთ NDR/XDR სისტემებსა და საფრთხეების საინფორმაციო სერვისებთან და ხელმისაწვდომია თუ არა საჭირო API‑ები და კავშირები.
ხშირად დასმული კითხვები EDR‑ზე
დანერგვისა და რეაგირების გეგმა კონკრეტული კითხვებით შეამოწმეთ: რომელი მოვლენები იქნება ხილული, ვინ გამოიკვლევს, რომელი ქმედებები შესრულდება ავტომატურად და რა მტკიცებულება შეინახება?
საიდან მოდის ტერმინი EDR?
2013 წელს Gartner‑ის ანალიტიკოსმა Anton Chuvakin‑მა ბოლო მოწყობილობის საეჭვო აქტივობის აღმომჩენი და გამომკვლევი ხელსაწყოებისთვის სახელი Endpoint Threat Detection & Response შემოგვთავაზა. ის უკვე არსებული ხელსაწყოების კატეგორიას არქმევდა სახელს.
რით განსხვავდება EDR ანტივირუსისგან?
EDR ბოლო მოწყობილობის ტელემეტრიას, მოვლენების გამოკვლევასა და რეაგირებას აერთიანებს. ანტივირუსი მავნე პროგრამებს აღმოაჩენს და ბლოკავს; თანამედროვე ანტივირუსს ქცევითი ანალიზის, ევრისტიკისა და ღრუბლოვანი ანალიტიკის გამოყენებაც შეუძლია. შესაძლებლობები გადაიფარება, ამიტომ დანერგვის გეგმაში განსაზღვრეთ თითოეული ხელსაწყოს როლი და ერთობლივი მუშაობა.
როგორ ეხმარება EDR ინციდენტზე რეაგირებას?
გამოკვლევის მონაცემებს, მოწყობილობის იზოლაციასა და ფაილის კარანტინში გადატანას რეაგირების დახმარება შეუძლია. ორგანიზაციამ ამ ქმედებების უფლებამოსილება და დამტკიცების პოლიტიკა უნდა განსაზღვროს.
რატომ არის ბოლო მოწყობილობის ხილვადობა მნიშვნელოვანი?
დაკავშირებული პროცესები, ფაილები, მომხმარებლები და ქსელური მოვლენები საერთო ქრონოლოგიაზე მოაქციეთ ინციდენტის მიმდევრობის გასარკვევად.
იძლევა EDR შესაბამისობის გარანტიას?
არა. ჩანაწერები და ანგარიშები აუდიტის მტკიცებულებას შეიძლება დაეხმაროს, თუმცა შესაბამისობა მოქმედ კონტროლზე, პოლიტიკებსა და ორგანიზაციის სხვა ვალდებულებებზეა დამოკიდებული.
შეუძლია EDR‑ს ჰიბრიდული გარემოს მხარდაჭერა?
ბოლო მოწყობილობების ინვენტარი მხარდაჭერის მატრიცას შეადარეთ, შემდეგ რეალურ მოწყობილობებზე შეამოწმეთ აგენტის დანერგვა, დისტანციური კავშირი და მართვის პოლიტიკები.
რით განსხვავდება EPP, EDR და XDR?
EPP ბოლო მოწყობილობაზე საფრთხის პრევენციაზე ფოკუსირდება, EDR კი მოწყობილობის მოვლენებს აღმოაჩენს, იკვლევს და რეაგირებას ეხმარება; ბევრი გარემო ორივეს იყენებს. მაგალითად, EPP‑მა მავნე ფაილი შეიძლება დაბლოკოს. თუ მოგვიანო აქტივობა პრევენციას გასცდა და საეჭვო პროცესი ან ქსელური კავშირი შექმნა, EDR‑მა დაკავშირებული მოვლენები გამოსაკვლევად შეიძლება გამოავლინოს. გუნდს შემდეგ სისუსტის გამოსწორება, სხვა მოწყობილობებზე იგივე დაუცველობის შემოწმება და განმეორების მონიტორინგი შეუძლია. XDR‑ს ბოლო მოწყობილობების, ქსელის, იდენტობის, ელფოსტისა და ღრუბლის სიგნალების კორელაცია შეუძლია; რეალური დაფარვა და ინტეგრაციის სიღრმე პროდუქტის მიხედვით იცვლება.
რომელი ბოლო მოწყობილობის კონტროლი ავსებს EDR‑ს?
ბოლო მოწყობილობების მართვა შეიძლება აქტივების ინვენტარს, განახლებებსა და უნებართვო პროგრამების შეზღუდვებს მოიცავდეს. EPP‑მა შეიძლება ანტივირუსი და მავნე პროგრამების საწინააღმდეგო დაცვა, ქსელური ეკრანი, აპლიკაციის დაშვებისა და დაბლოკვის სიები, დაშიფვრა და მონაცემთა დაკარგვის პრევენცია გააერთიანოს. URL ფილტრაცია და ბრაუზერის იზოლაცია ვებრისკებს პასუხობს, ქსელური წვდომის კონტროლი კი განსაზღვრავს, რომელ მოწყობილობებს შეუძლია დაკავშირება; MDM‑ს მობილურ მოწყობილობებზე პოლიტიკის გატარება შეუძლია. ეს კონტროლი ავსებს ბოლო მოწყობილობის მოვლენებს, გამოკვლევასა და რეაგირებას, რომელსაც EDR იძლევა. შეამოწმეთ, ერთ პროდუქტში მოდის თუ არა ფუნქციები და ვრცელდება თუ არა თქვენს მოწყობილობებზე.
რით განსხვავდება MEDR MDR‑ისგან?
მართვადი EDR (MEDR) სერვისია, რომელშიც მომწოდებელი EDR პლატფორმას მართავს, მის შეტყობინებებს იკვლევს და შეთანხმებულ რეაგირებას ასრულებს. MDR შეიძლება მონაცემთა წყაროებისა და საფრთხეებზე პროაქტიული ძიების უფრო ფართო ნაკრებს ფარავდეს. შეადარეთ სახელშეკრულებო ფარგლები: მოწყობილობები, წყაროები, რეაგირების უფლებამოსილება, ესკალაცია, მომსახურების საათები და შიდა გუნდის პასუხისმგებლობები.
როგორ უნდა შეფასდეს ბირთვის დონის ბოლო მოწყობილობის კომპონენტები?
მაღალპრივილეგირებულ კომპონენტებს ღრმა ხილვადობისა და დაცვის მოცემა შეუძლია, თუმცა სტაბილურობისა და თავსებადობის ტესტირება სჭირდება. სატესტო გარემოში მომწოდებელთან დაადასტურეთ საჭირო დრაივერები, განახლებისა და აღდგენის პროცედურები, ოპერაციული სისტემის მხარდაჭერა და გაუმართაობისას ქცევა.
რა უნდა შეფასდეს EDR მომწოდებლის შერჩევისას?
შეაფასეთ აღმოჩენისა და რეაგირების ფარგლები, API‑ები და ინტეგრაციები, მასშტაბი და მოწყობილობის წარმადობა, კონსოლის მოხერხებულობა, ანგარიშგება, მხარდაჭერა და სწავლება. იკითხეთ, შესაძლებელია თუ არა მორგებული წესების შექმნა და დახვეწა, რა სიხშირით ახლდება ანალიტიკა და სენსორები და როგორ შეიძლება პრობლემური განახლების უკუგება. თუ იზოლირებული საცდელი ანალიზი ჩართულია ან ინტეგრირებულია, შეამოწმეთ ნიმუშების საწარმოო გარემოსგან იზოლაცია და შედეგების ინციდენტის მტკიცებულებებთან კავშირი. დაგეგმეთ მომხმარებელთა ცნობიერების ამაღლება და განსაზღვრეთ ინციდენტისშემდგომი ძირეული მიზეზის ანალიზზე პასუხისმგებლობა. დაადასტურეთ შენახვის ვადა, მონაცემთა მდებარეობა და სამართლებრივი მოთხოვნები; ფლობის მთლიან ხარჯში ლიცენზირება, დანერგვა და შიდა დრო ჩართეთ.
როგორ ეხმარება EDR ინციდენტის სამუშაო პროცესს?
დაიწყეთ შეტყობინებით ან გადამოწმებული გარე საფრთხის ინდიკატორით. მოძებნეთ დაკავშირებული მოვლენები, მოწყობილობის მნიშვნელობითა და შესაძლო გავლენით პრიორიტეტი მიანიჭეთ და ნებართვისას მოწყობილობა იზოლაციაში გადაიყვანეთ. გამოიკვლიეთ სხვა დაზიანებული მოწყობილობები და აღრიცხეთ რეაგირების ქმედებების შედეგები. წინასწარ განსაზღვრეთ იზოლაციის შესაძლო სერვისული გავლენა და დამმტკიცებელი.
როგორ უნდა შეფასდეს EDR რეაგირების ავტომატიზაცია?
შეამოწმეთ, როგორ აჯგუფებს კორელირებული ტელემეტრია მოვლენებს და როგორ ენიჭება შეტყობინებებს პრიორიტეტი. ავტომატური რეაგირება წინასწარ დამტკიცებული ქმედებებით შეზღუდეთ; შეამოწმეთ ადამიანის ზედამხედველობა, გამონაკლისები, აუდიტის ჩანაწერები და არასწორი ქმედების შებრუნება.