მთავარი დასკვნა
წარმატებული დანერგვა აგენტის დაყენებაზე მეტს მოიცავს. წინასწარ შეათანხმეთ მხარდაჭერილი მოწყობილობები, შეგროვებული მონაცემები, გამოკვლევაზე პასუხისმგებლობა და რეაგირების ქმედებების დამტკიცება.
განსაზღვრეთ ფარგლები, ინვენტარი და საოპერაციო მოდელი
დანერგვამდე აღრიცხეთ სამუშაო სადგურები, სერვერები, დისტანციური და მობილური მოწყობილობები, ვირტუალური მანქანები, მართვადი კონტეინერული გარემოები და ქსელური აღჭურვილობა, მაგალითად პრინტერები, კამერები და სენსორები. თითოეული ჯგუფისთვის მიუთითეთ პასუხისმგებელი პირი, ბიზნესმნიშვნელობა, ოპერაციული სისტემა, განახლების სტატუსი და დანერგვის მეთოდი. მხარდაჭერილი მოწყობილობები სრული ტელემეტრიისა და რეაგირების შესაძლებლობის მქონე მოწყობილობებისგან ცალკე აღრიცხეთ; ინვენტარში გამოჩენა ყველა უსაფრთხოების ფუნქციის ხელმისაწვდომობას არ ნიშნავს. BYOD‑ისა და ახლად აღმოჩენილი მოწყობილობებისთვის განსაზღვრეთ ფლობის, დამტკიცების, განახლებისა და ქსელური წვდომის მოთხოვნები. აღჭურვილობისთვის, რომელზეც EDR აგენტი ვერ მუშაობს, დაგეგმეთ ცალკე კონტროლი: ჩაშენებული პროგრამის განახლებები, წვდომის შეზღუდვები და ქსელის სეგმენტაცია. დაადასტურეთ, მართვა ღრუბლოვანია, ადგილობრივი თუ ჰიბრიდული, სად ინახება მონაცემები და ვინ არის განახლებებზე პასუხისმგებელი.
დაგეგმეთ აგენტები, ტელემეტრია და კონფიდენციალურობა
შეამოწმეთ აგენტის დაყენება, განახლებები, გაუმართაობის შემდეგ აღდგენა და დისტანციური მოწყობილობების კავშირი. მოწყობილობებზე სათითაოდ დაყენების ნაცვლად არსებული პროგრამული განაწილების ხელსაწყოებით ეტაპობრივი დანერგვა დაგეგმეთ. ტელემეტრია მიზნის მიხედვით შეარჩიეთ: პროცესისა და აპლიკაციის გაშვებები, ფაილისა და რეესტრის ცვლილებები, მომხმარებლისა და ანგარიშის აქტივობა, ქსელური კავშირები, DNS და სისტემის კონფიგურაცია. განსაზღვრეთ, ვის შეუძლია შეგროვებული მონაცემების ნახვა, რა გადის ექსპორტზე და რამდენ ხანს ინახება. თანამშრომელთა მონიტორინგისთვის შეამოწმეთ შიდა პოლიტიკა და სამართლებრივი მოთხოვნები, შეზღუდეთ არასაჭირო პერსონალური მონაცემების შეგროვება და წვდომა და მაუსის ან კლავიშების ჩაწერა სტანდარტულ EDR ტელემეტრიად არ მიიჩნიოთ.
გადაამოწმეთ ოპერაციული სისტემები და Linux დატვირთვები
ზუსტი გამოცემა, ვერსია და არქიტექტურა მხარდაჭერის მატრიცასა და ლიცენზიას შეუდარეთ; აგენტი თითოეულ გარემოში შეამოწმეთ.
Windows‑ის სასიცოცხლო ციკლი
Windows 10 version 22H2‑ის ზოგადი მხარდაჭერა 2025 წლის 14 ოქტომბერს დასრულდა. ESU‑ს შესაბამისობა და რეგისტრაცია ცალკე შეამოწმეთ; LTSC გამოცემებს საკუთარი მხარდაჭერის თარიღები აქვს. დაადასტურეთ ზუსტი გამოცემა, ლიცენზია და EDR აგენტის მხარდაჭერა.
Linux სერვერები
დაადასტურეთ მხარდაჭერილი დისტრიბუცია, ბირთვის ვერსია, CPU არქიტექტურა და აგენტის ტელემეტრიის მეთოდი. ბირთვის მოდულის, eBPF‑ის, აუდიტის ჟურნალებისა თუ მომხმარებლის სივრცის დემონისთვის შეამოწმეთ განახლებები, რესურსებზე გავლენა და გაუმართაობისას ქცევა; ერთი მეთოდის მხარდაჭერა ყველა პროდუქტზე არ ვრცელდება.
კონტეინერები და Kubernetes
შეამოწმეთ ხანმოკლე პოდებისა და პროცესების მტკიცებულებათა შენახვა, სახელთა სივრცის ხილვადობა, შესრულების გარემოს მხარდაჭერა და რეაგირების ქმედებების გავლენა კლასტერზე. საპილოტედ გამოსცადეთ გარემო, რომელსაც მომწოდებელი აშკარად მხარდაჭერილად ასახელებს.
განსაზღვრეთ პირველადი შეფასების, ესკალაციისა და რეაგირების პასუხისმგებლობა
შიდა, მართვადი ან ჰიბრიდული მოდელისთვის სამუშაოზე პასუხისმგებლობა და რეაგირების უფლებამოსილება საოპერაციო სახელმძღვანელოსა და ხელშეკრულებაში აღწერეთ.
| როლი | ყოველდღიური სამუშაო | უფლებამოსილება და რეაგირება |
|---|---|---|
| შიდა ანალიტიკოსი | ახორციელებს შეტყობინებების პირველად შეფასებას, იკვლევს კონტექსტსა და გავლენას და მოვლენებს ესკალაციით გადასცემს. | ასრულებს საოპერაციო სახელმძღვანელოთი მინიჭებულ ქმედებებს და დამტკიცების მომთხოვნ ნაბიჯებს ესკალაციით გადასცემს. |
| ბოლო მოწყობილობაზე ან სერვისზე პასუხისმგებელი პირი | განსაზღვრავს მოწყობილობის კრიტიკულობას, სერვისზე გავლენასა და აღდგენის მოთხოვნებს. | ორგანიზაციის პოლიტიკით ამტკიცებს სერვისზე მოქმედ ქმედებებს. |
| მართვადი EDR/MDR მომწოდებელი | აკონტროლებს ხელშეკრულებით განსაზღვრულ წყაროებს, იკვლევს მოვლენებს და ესკალაციით გადასცემს. | რეაგირების ქმედებებს მხოლოდ ხელშეკრულებით შეთანხმებული უფლებამოსილების ფარგლებში ასრულებს. |
გამოსცადეთ კონტროლირებადი სცენარითა და შეთანხმებული კრიტერიუმებით
კანდიდატ პროდუქტებში იგივე უსაფრთხო სცენარი გაიმეორეთ და შედეგები შეთანხმებულ კრიტერიუმებს შეადარეთ.
შეარჩიეთ სცენარი
გამოიყენეთ სატესტო ინდიკატორი ან სიმულირებული საეჭვო პროცესი; საწარმოო გარემოში რეალური მავნე პროგრამა არ გაუშვათ. წარმატების კრიტერიუმები დაწყებამდე დაწერეთ.
მიჰყევით შეტყობინებასა და მტკიცებულებებს
შეამოწმეთ შეტყობინების გამომწვევი მიზეზი, დაკავშირებული პროცესის, ფაილისა და ანგარიშის მოვლენები, ქრონოლოგია და მტკიცებულების ექსპორტი. ნახეთ, როგორ აღირიცხება მცდარი შეტყობინებები და დადასტურებული ინციდენტები.
შეამოწმეთ რეაგირება და უკუგება
აჩვენეთ იზოლაცია და კარანტინი; აღრიცხეთ, რა სრულდება ავტომატურად, ვინ ამტკიცებს, როგორია სერვისზე გავლენა და როგორ ბრუნდება არასწორი ქმედება.
შეამოწმეთ თავსებადობა თქვენს მოწყობილობებზე
თქვენი ინვენტარის მიხედვით შეამოწმეთ ოპერაციული სისტემის გამოცემები და ვერსიები, მოწყობილობების არქიტექტურები, აგენტის დაყენება, დისტანციური და ოფლაინ ქცევა, პოლიტიკები, ქსელური მოთხოვნები და SIEM/ITSM/API ინტეგრაციები.
შეადარეთ კრიტერიუმებს
თითოეული კანდიდატისთვის იგივე სცენარი გაუშვით. გაზომეთ ხილვადობა, აღმოჩენისა და გამოკვლევის ხარისხი, მცდარი შეტყობინებები, ანალიტიკოსის ნაბიჯები, რეაგირების კონტროლი, თავსებადობა და საოპერაციო ძალისხმევა. MITRE ATT&CK მოწინააღმდეგის ტაქტიკისა და ტექნიკის ცოდნის ბაზაა; ATT&CK Evaluations მასზე დაფუძნებული ცალკე შეფასების პროგრამაა. შედეგები ტესტის ფარგლებსა და კონფიგურაციასთან ერთად განმარტეთ: ისინი თქვენს გარემოში საპილოტე გამოცდას ვერ ცვლის.
აკონტროლეთ ავტომატიზაცია და SOAR ინტეგრაცია
EDR‑ს პირველადი შეფასების, გამოკვლევის, იზოლაციისა და კარანტინის ავტომატიზაცია შეუძლია; SOAR ინტეგრაციას — დამტკიცებული პროცესების SIEM‑თან, იდენტობის, ელფოსტისა და ქსელის ხელსაწყოებთან დაკავშირება. თითოეული მოქმედების სახელმძღვანელოსთვის განსაზღვრეთ გამომწვევი სიგნალები, ავტომატური ქმედებები, ადამიანის დამტკიცების საჭიროება და გაუმართაობისას შედეგი. შეამოწმეთ ცრუდადებითი შედეგისა და კრიტიკული მოწყობილობის გამონაკლისები, აუდიტის კვალი, ტესტირება და უკუგება. „AI“, „პროგნოზირების“ ან „ავტომატური რეაგირების“ დასახელებები კონკრეტული ფუნქციების, ინტეგრაციების, პოლიტიკებისა და უფლებამოსილების დემონსტრაციით შეაფასეთ.
გაზომეთ აღდგენა და ისწავლეთ შედეგებიდან
ინციდენტისას გამოიკვლიეთ დაზიანებული მოწყობილობები და ანგარიშები, მავნე ფაილებისა და ხელსაწყოების მდებარეობები, საწყისი წვდომის გზა, შესაძლო მოწყვლადობები და დაკავშირებული ბოლო მოწყობილობები. შეზღუდეთ გავრცელება და რეაგირების გეგმით, გაწმენდამდე ან ხელახლა დაყენებამდე შეინარჩუნეთ გამოკვლევისთვის საჭირო ჩანაწერები და სხვა მტკიცებულებები. შემდეგ შეაჩერეთ მავნე აქტივობა და წაშალეთ მდგრადი დამკვიდრების მექანიზმები, გამოასწორეთ გამოვლენილი მოწყვლადობები, მსგავსი მოწყობილობები დაკავშირებული კვალისთვის შეამოწმეთ და განახლებებსა და პოლიტიკებს გადახედეთ. გადაამოწმეთ აღდგენილი სისტემების მთლიანობა და ჩვეულებრივი მუშაობა; სარეზერვო ასლების გამოყენებისას აღდგენამდე შეამოწმეთ ისინი. ინციდენტის შემდეგ აღრიცხეთ აღმოჩენის, გამოკვლევისა და აღდგენის დრო, ქმედებების დასრულება, წარუმატებელი ან დაგვიანებული ნაბიჯები და განმეორებადი ხარვეზები. შედეგები წესების, საოპერაციო სახელმძღვანელოების, პატჩების პროცესების, სწავლებისა და დანერგვის დაფარვის გასაახლებლად გამოიყენეთ; მაჩვენებლები ინციდენტის კონტექსტში განმარტეთ.