Mesmo que você já rode antivírus, o EDR ainda pode ser útil, porque os dois cumprem papéis diferentes. Veja o que o EDR protege e como (sem passos de ataque).
Em que difere do antivírus tradicional
| Aspecto | Antivírus tradicional | EDR |
|---|---|---|
| Base de detecção | Assinaturas conhecidas / IOCs (hashes) | Comportamento / IOAs (uma cadeia de atividade) |
| Resistência a escapes | Fraco contra sem arquivo / abuso de ferramentas | Mais fácil de capturar por comportamento |
| Investigação a posteriori | Limitada | Uma linha do tempo para rastrear o que aconteceu |
| Resposta | Em geral remoção | Apoia isolar, investigar, recuperar |
EDR vs XDR vs MDR vs SIEM
Esses termos aparecem muitas vezes lado a lado nas descrições de produtos. Aqui eles estão separados pelo que fazem e pelo que observam.
| Termo | O que faz | O que observa |
|---|---|---|
| Antivírus (EPP) | Compara arquivos sabidamente maliciosos e os impede antes de rodarem | Endpoints |
| EDR | Registra a atividade dos endpoints, detecta cadeias suspeitas, ajuda a isolar e investigar | Endpoints |
| XDR | Leva a ideia do EDR para e-mail, nuvem, rede e contas, e liga essas fontes | Várias áreas, endpoints incluídos |
| MDR | Um serviço em que uma equipe externa de especialistas cuida da detecção e da resposta por você | O escopo definido em contrato |
| SIEM | Coleta logs de muitos dispositivos e serviços, e os pesquisa, correlaciona e armazena | Logs de toda a organização |
Ajuda pensar em EDR e XDR como tipos de produto, em MDR como uma forma de operar e em SIEM como o lugar onde os logs ficam.
Como ele protege (o mecanismo)
A comparação de assinaturas (bloquear o sabidamente malicioso) e a detecção comportamental (perceber via IOAs) não são opostas. Ter ambas é realista; o EDR aprofunda a segunda.
Uma abordagem realista para times pequenos
Cubra o básico primeiro
Use a proteção embutida no SO
Preserve logs e tenha um olho de IOA
Considere EDR conforme você cresce
Exemplos reais: um caso público e uma política pública
- Osaka General Medical Center (2022): o relatório do comitê de investigação aponta, como um dos motivos de o dano ter se espalhado pelo sistema de prontuário eletrônico, que não havia antivírus instalado nos servidores principais desse sistema. A detecção não funciona num dispositivo em que não está instalada. Seja com EDR ou com antivírus, a primeira pergunta é se algum dispositivo ficou de fora
- O governo federal dos EUA: em 8 de outubro de 2021, o Office of Management and Budget (OMB) publicou o memorando M-22-01, determinando que as agências federais adotem EDR com base na Ordem Executiva 14028. O memorando descreve o EDR como a combinação de monitoramento contínuo em tempo real e coleta de dados dos endpoints com resposta e análise automatizadas baseadas em regras
Como verificar no seu próprio ambiente
Para indivíduos e pequenos escritórios, comece pelo PC à sua frente.
- Em "Segurança do Windows", abra "Proteção contra vírus e ameaças" e verifique se a proteção em tempo real está ativada
- Abra o PowerShell como administrador e execute
Get-MpComputerStatus | Select-Object AMRunningMode,RealTimeProtectionEnabled,BehaviorMonitorEnabled,AntivirusSignatureLastUpdated. Verifique seRealTimeProtectionEnabledeBehaviorMonitorEnabled(monitoramento de comportamento) estão comoTruee se a data de atualização das assinaturas é recente - Se
AMRunningModeforNormal, o Defender está rodando como antivírus principal. Se forPassive, o produto de outro fornecedor é o principal, então verifique se esse produto está ligado e atualizado
Note que o Microsoft Defender Antivirus embutido num PC protege só aquela máquina. Ele não é o mesmo que um EDR gerenciado, que registra a atividade de muitos dispositivos num só lugar e consegue isolá-los remotamente.
Se a sua organização usa EDR, verifique três coisas.
- Compare o inventário de ativos com a contagem de dispositivos no console do EDR e procure dispositivos sem ele. Servidores e dispositivos de conexão usados por terceirizados são fáceis de esquecer
- Defina quem revisa os alertas e quando, e quem decide isolar um dispositivo à noite ou no fim de semana
- Confirme que contas de usuário comuns não conseguem desligar o EDR no próprio dispositivo
A visão deste site: o estado de 'registrar/detectar/responder', não o nome do produto
O EDR é poderoso, mas neste site não tratamos "temos EDR" como "estamos seguros". A detecção é sobre depois que um incidente começa; o primeiro objetivo é um design que não deixa começar nem se espalhar (privilégio mínimo, correções, MFA, nenhum segredo em texto puro). Além disso, como alguns ataques sempre escapam, mantenha um estado em que você consiga registrar, detectar e responder a comportamento, dimensionado à sua escala. Para indivíduos, "Defender + logs + a mentalidade de IOA" muitas vezes basta; para organizações, um EDR gerenciado é uma opção. O que importa não é o nome do produto; é se você tem tanto a prevenção (impedir) quanto a detecção (perceber).
Fontes (primárias)
- US Office of Management and Budget (OMB), "M-22-01: Improving Detection of Cybersecurity Vulnerabilities and Incidents on Federal Government Systems through Endpoint Detection and Response" (8 de outubro de 2021) — whitehouse.gov (descrição do EDR e determinação às agências federais)
- Microsoft Learn, "Get-MpComputerStatus" — learn.microsoft.com (comando para verificar o estado do Defender)
- Microsoft Learn, "Endpoint detection and response in block mode" — learn.microsoft.com (modos ativo e passivo do Defender)
- Osaka General Medical Center, relatório do comitê de investigação do incidente de segurança da informação (publicado em 28 de março de 2023, em japonês) — gh.opho.jp