EDR

Что это значит

EDR, endpoint detection and response, - защитное ПО на конечных устройствах, то есть компьютерах, ноутбуках и серверах. В отличие от классического антивируса оно ищет не только известные образцы вредоносного ПО, но и отслеживает поведение программ и предупреждает о подозрительной активности, которая может быть началом атаки.

Типичный пример - программа, которая начинает массово шифровать файлы, или процесс, пытающийся отключить резервное копирование или читать пароли из памяти. EDR останавливает такую активность, может изолировать устройство от сети и фиксирует, что произошло, чтобы атаку можно было разобрать.

Записи EDR ценны при реагировании на инцидент: они показывают, когда и как злоумышленник проник, какие устройства затронул и добрался ли до данных. Без них фирма часто не может сказать, произошла ли утечка персональных данных.

Как это работает на практике

Небольшим фирмам сегодня доступны решения EDR по подписке с управлением от поставщика, который оценивает оповещения за фирму. Внедрение оправдано прежде всего там, где работают с чувствительными данными клиентов, зарплатами или банковскими доступами.

EDR не заменяет остальные меры. По-прежнему нужны управление обновлениями, резервные копии вне сети, двухфакторная аутентификация и обучение людей. Это ещё один слой, который ловит то, что проскочило через остальные.

Страховые при киберстраховании всё чаще спрашивают, использует ли фирма EDR, и без него могут предложить худшие условия или отказать. Для фирм, подпадающих под NIS2, обнаружение инцидентов входит в обязательные меры.

На что обратить внимание

Самая частая ошибка - внедрить EDR, но оповещения никто не читает. Система, ночью сообщающая о подозрительной активности на сервере, поможет, только если кто-то отреагирует. Либо у фирмы должен быть человек, который разбирает оповещения, либо сервис с управлением.

Осторожно и с устройствами вне охвата, например старым сервером, ноутбуком директора или компьютером на складе. Злоумышленники ищут именно самое слабое место, и одного незащищённого устройства может хватить.