EDR

Čo to znamená

EDR, endpoint detection and response, je bezpečnostný softvér na koncových zariadeniach, teda počítačoch, notebookoch a serveroch. Na rozdiel od klasického antivírusu nehľadá len známe vzorky malvéru, ale sleduje správanie programov a upozorní na podozrivé aktivity, ktoré môžu byť začiatkom útoku.

Typickým príkladom je program, ktorý začne vo veľkom šifrovať súbory, alebo proces, ktorý sa pokúša vypnúť zálohovanie či čítať heslá z pamäte. EDR takú aktivitu zastaví, zariadenie môže izolovať od siete a zaznamená, čo sa stalo, aby sa dal útok rozobrať.

Záznamy z EDR sú cenné pri reakcii na incident: ukážu, kedy a ako sa útočník dostal dnu, ktoré zariadenia zasiahol a či sa dostal k dátam. Bez nich firma často nevie povedať, či došlo k úniku osobných údajov.

Ako to funguje v praxi

Pre menšie firmy sú dnes dostupné EDR riešenia v predplatnom so správou od poskytovateľa, ktorý upozornenia vyhodnocuje za firmu. Nasadenie sa oplatí najmä tam, kde sa pracuje s citlivými dátami klientov, mzdami či bankovými prístupmi.

EDR nenahrádza ostatné opatrenia. Stále je potrebný patch management, zálohy mimo siete, dvojfaktorové overenie a vzdelávanie ľudí. Je to ďalšia vrstva, ktorá zachytí to, čo prekĺzne cez ostatné.

Poisťovne pri kybernetickom poistení čoraz častejšie pýtajú, či firma EDR používa, a bez neho môžu ponúknuť horšie podmienky alebo poistenie odmietnuť. Pre firmy spadajúce pod NIS2 je detekcia incidentov súčasťou povinných opatrení.

Na čo si dať pozor

Najčastejšou chybou je nasadiť EDR a upozornenia nikto nečíta. Systém, ktorý v noci hlási podozrivú aktivitu na serveri, pomôže len vtedy, ak niekto zareaguje. Buď musí mať firma človeka, ktorý upozornenia rieši, alebo služba so správou.

Pozor aj na zariadenia mimo pokrytia, napríklad starý server, notebook konateľa či počítač v sklade. Útočníci hľadajú práve najslabšie miesto a jedno nechránené zariadenie môže stačiť.