EDR და DLP: შეტევების გამოვლენა და მონაცემთა დაცვა

უსაფრთხოების ორი განსხვავებული მიზანი

EDR დაცულ ლეპტოპებზე, სერვერებსა და სხვა ბოლო მოწყობილობებზე აკვირდება პროცესებს, ფაილებს, მომხმარებლის მოქმედებებსა და ქსელურ აქტივობას საეჭვო ქცევის გამოსავლენად და შესასწავლად და ისეთი მოქმედებების მხარდასაჭერად, როგორიცაა მოწყობილობის იზოლაცია. DLP მგრძნობიარე ინფორმაციას კლასიფიცირებს და მისი შენახვის, გამოყენებისა და გადაცემის წესებს აღასრულებს. ორივემ შეიძლება აგენტები გამოიყენოს, თუმცა სხვადასხვა ობიექტზეა ორიენტირებული: EDR — საფრთხეებსა და სისტემის ქცევაზე, DLP — მონაცემებსა და პოლიტიკაზე.

მათი ფარგლები ერთნაირი კრიტერიუმებით შეადარეთ

EDR დაგეხმარებათ დაადგინოთ, როგორ დაიწყო მოვლენა და როგორ გადავიდა ბოლო მოწყობილობებს შორის. DLP‑ს შეუძლია პოლიტიკის აღსრულება შენახულ მონაცემებზე, ქსელურ გადაცემებსა და გამოყენებად მონაცემებზე. DLP‑ის ფაქტობრივი დაფარვა აგენტებზე, აპლიკაციებზე, ღრუბლოვან სერვისებზე, არხებსა და პოლიტიკის კონფიგურაციაზეა დამოკიდებული; EDR‑ის დაფარვა — დაკავშირებულ მოწყობილობებსა და ტელემეტრიაზე. ყოველი აუცილებელი არხი შესაბამის მონაცემთა კლასს მიკუთვნებული საცდელი ფაილებით გამოსცადეთ.

შეარჩიეთ ინციდენტის სცენარის მიხედვით

ორივე კონტროლის გამოყენება ხშირად მიზანშეწონილია. მაგალითად, გამომძალველი პროგრამის შეტევისას თავდამსხმელი ინფიცირებული ბოლო მოწყობილობიდან მგრძნობიარე ფაილებს ქსელით აკოპირებს. EDR‑ს შეუძლია პროცესისა და ქსელის ქცევის შესწავლა და მოწყობილობის იზოლაციის მხარდაჭერა; DLP‑ს — მგრძნობიარე ფაილების გადაცემის წესების აღსრულება. გამოსცადეთ, რომელ მონაცემებსა და არხებს მოიცავს DLP პოლიტიკა, რომელ მოვლენებს აგროვებს EDR აგენტი, რომელი გაფრთხილებები აღწევს SIEM‑მდე და ვინ ხელმძღვანელობს რეაგირებას.

1. 01

   გამოავლინეთ მონაცემები

   ჩამოთვალეთ რეგულირებული, პირადი და საქმიანობისთვის კრიტიკული მონაცემები, მათი ადგილსამყოფელი და პირები, რომლებსაც წვდომის კანონიერი საჭიროება აქვთ.

2. 02

   გამოსცადეთ სცენარი და არხი

   სინთეზური მონაცემებით მოამზადეთ უსაფრთხო ტესტები ელფოსტისთვის, ბრაუზერიდან ატვირთვისთვის, USB‑ისთვის, SaaS გაზიარებისა და ბოლო მოწყობილობის აქტივობისთვის. შეამოწმეთ, რომელ მოქმედებებს აღრიცხავს, ბლოკავს და აცნობს მომხმარებელს სისტემა.

3. 03

   შეათანხმეთ გამოძიება და გამონაკლისები

   განსაზღვრეთ დაშვებული პროცესები, ვინ იკვლევს ცრუ დადებით შედეგებს და ამტკიცებს საგანგებო გამონაკლისებს, რომელი მოქმედებები აღირიცხება და რამდენ ხანს ინახება მონაცემები.

გადახედეთ პოლიტიკას და მოარგეთ

დაადგინეთ, როგორ ამოიცნობა მგრძნობიარე მონაცემები, იყენებს თუ არა წესები მომხმარებლისა და აპლიკაციის კონტექსტს, მოვლენა იბლოკება თუ მხოლოდ აღირიცხება და როგორ ეცნობება ეს მომხმარებელს. ზედმეტად ფართო ბლოკირებამ მუშაობა შეიძლება შეაფერხოს; სუსტმა კლასიფიკაციამ, დაშიფრულმა არქივებმა და მხარდაუჭერელმა არხებმა ხარვეზები დატოვოს. პოლიტიკა პილოტში გაზომეთ და მონაცემების მფლობელთან ერთად მოარგეთ.

EDR და DLP ერთ სამუშაო პროცესში დააკავშირეთ

როცა EDR გაფრთხილება და DLP წესის დამთხვევა ერთ მომხმარებელს ან ფაილს ეხება, ისინი ერთ გამოძიებაში განიხილეთ. შეამოწმეთ მონაცემების მგრძნობელობა, მართავს თუ არა ორგანიზაცია მოწყობილობას, გადაცემის არხი და საქმიან პროცესზე პასუხისმგებელი პირი. მხოლოდ DLP წესის დამთხვევა მავნე განზრახვას არ ამტკიცებს, მხოლოდ EDR სიგნალი კი არ ამტკიცებს, რომ მონაცემებმა ორგანიზაცია დატოვა; ორივე კონტექსტში გამოიკვლიეთ.

ხშირად დასმული კითხვები

მოკლე პასუხები განსხვავებულ რისკებზე, რომლებსაც EDR და DLP ამუშავებს.