Даже если у вас уже есть антивирус, EDR может пригодиться, потому что у них разные роли. Разберём, что защищает EDR и как (без шагов атаки).
Чем он отличается от традиционного антивируса
| Аспект | Традиционный антивирус | EDR |
|---|---|---|
| Основа обнаружения | Известные сигнатуры / IOC (хеши) | Поведение / IOA (цепочка активности) |
| Устойчивость к проскальзыванию | Слабо против бесфайловых / злоупотребления инструментами | Легче поймать по поведению |
| Расследование постфактум | Ограниченное | Временная шкала для прослеживания произошедшего |
| Реагирование | В основном удаление | Поддерживает изолировать, расследовать, восстановить |
EDR, XDR, MDR и SIEM
Эти термины часто стоят рядом в описаниях продуктов. Разделим их по тому, что они делают и за чем следят.
| Термин | Что делает | За чем следит |
|---|---|---|
| Антивирус (EPP) | Сопоставляет известные вредоносные файлы и останавливает их до запуска | Конечные точки |
| EDR | Записывает активность конечных точек, обнаруживает подозрительные цепочки, помогает изолировать и расследовать | Конечные точки |
| XDR | Распространяет идею EDR на почту, облако, сеть и учётные записи и связывает их | Несколько областей, включая конечные точки |
| MDR | Услуга, при которой обнаружение и реагирование за вас ведёт внешняя команда специалистов | Объём, определённый договором |
| SIEM | Собирает журналы со множества устройств и сервисов, ищет по ним, сопоставляет и хранит | Журналы по всей организации |
Удобно считать EDR и XDR типами продуктов, MDR — способом эксплуатации, а SIEM — местом, где хранятся журналы.
Как он защищает (механизм)
Сигнатурное сопоставление (блокировать известное вредоносное) и обнаружение по поведению (замечать через IOA) не противопоставлены. Реалистично иметь и то, и другое; EDR углубляет второе.
Реалистичный взгляд для небольшой команды
Сначала наладьте основы
Используйте встроенную защиту ОС
Сохраняйте журналы и держите взгляд IOA
Рассмотрите EDR по мере роста
Реальные примеры: публичный случай и публичная политика
- Осакский городской медицинский центр общего профиля (Osaka General Medical Center, 2022) (на английском): в отчёте следственного комитета среди причин распространения ущерба по системе электронных медицинских карт указано, что на ключевых серверах этой системы не был установлен антивирус. Обнаружение не работает на устройстве, где оно не установлено. Что с EDR, что с антивирусом, первый вопрос — не осталось ли устройств без защиты
- Федеральное правительство США: 8 октября 2021 года Административно-бюджетное управление (OMB) выпустило меморандум M-22-01, предписав федеральным ведомствам во исполнение Указа 14028 внедрить EDR. В меморандуме EDR описан как сочетание непрерывного мониторинга и сбора данных конечных точек в реальном времени с автоматизированным реагированием и анализом на основе правил
Как проверить в своей среде
Частным лицам и небольшим офисам стоит начать с ПК, который перед вами.
- В «Безопасности Windows» откройте «Защиту от вирусов и угроз» и убедитесь, что защита в режиме реального времени включена
- Откройте PowerShell от имени администратора и выполните
Get-MpComputerStatus | Select-Object AMRunningMode,RealTimeProtectionEnabled,BehaviorMonitorEnabled,AntivirusSignatureLastUpdated. Убедитесь, чтоRealTimeProtectionEnabledиBehaviorMonitorEnabled(мониторинг поведения) равныTrue, а дата обновления сигнатур свежая - Если
AMRunningModeравноNormal, Defender работает как основной антивирус. ЕслиPassive, основным является продукт другого вендора — проверьте, что он включён и обновлён
Учтите, что встроенный в ПК антивирус Microsoft Defender защищает только эту одну машину. Это не то же самое, что управляемый EDR, который записывает активность множества устройств в одном месте и может изолировать их удалённо.
Если в вашей организации используется EDR, проверьте три вещи.
- Сравните инвентарный список активов с числом устройств в консоли EDR и найдите устройства без него. Легко упустить серверы и устройства подключения, которыми пользуются подрядчики
- Решите, кто и когда просматривает оповещения и кто принимает решение изолировать устройство ночью или в выходные
- Убедитесь, что обычные учётные записи пользователей не могут отключить EDR на своём устройстве
Мнение этого сайта: состояние «записывать/обнаруживать/реагировать», а не название продукта
EDR мощный, но на этом сайте мы не считаем «у нас есть EDR» равным «мы в безопасности». Обнаружение касается того, что после начала инцидента; первая цель — проектирование, которое не даёт ему начаться или распространиться (минимум привилегий, обновления, MFA, никаких секретов в открытом виде). Поверх этого, поскольку часть атак всегда проскальзывает, держите состояние, в котором вы можете записывать, обнаруживать и реагировать на поведение, по размеру вашего масштаба. Для частных лиц «Defender + журналы + мышление IOA» часто достаточно; для организаций управляемый EDR — вариант. Важно не название продукта, а то, есть ли у вас и профилактика (не допустить), и обнаружение (заметить).
Источники (первичные)
- Административно-бюджетное управление США (OMB), «M-22-01: Improving Detection of Cybersecurity Vulnerabilities and Incidents on Federal Government Systems through Endpoint Detection and Response» (8 октября 2021) — whitehouse.gov (описание EDR и предписание федеральным ведомствам)
- Microsoft Learn, «Get-MpComputerStatus» — learn.microsoft.com (команда для проверки состояния Defender)
- Microsoft Learn, «Endpoint detection and response in block mode» — learn.microsoft.com (активный и пассивный режимы Defender)
- Osaka General Medical Center, отчёт следственного комитета по инциденту информационной безопасности (опубликован 28 марта 2023, на японском) — gh.opho.jp