EDR

Що це означає

EDR, endpoint detection and response, - захисне ПЗ на кінцевих пристроях, тобто комп’ютерах, ноутбуках і серверах. На відміну від класичного антивірусу воно шукає не лише відомі зразки шкідливого ПЗ, а й відстежує поведінку програм і попереджає про підозрілу активність, яка може бути початком атаки.

Типовий приклад - програма, яка починає масово шифрувати файли, або процес, що намагається вимкнути резервне копіювання чи читати паролі з пам’яті. EDR зупиняє таку активність, може ізолювати пристрій від мережі і фіксує, що сталося, щоб атаку можна було розібрати.

Записи EDR цінні під час реагування на інцидент: вони показують, коли і як зловмисник проник, які пристрої зачепив і чи дістався до даних. Без них фірма часто не може сказати, чи стався витік персональних даних.

Як це працює на практиці

Невеликим фірмам сьогодні доступні рішення EDR за підпискою з керуванням від постачальника, який оцінює сповіщення за фірму. Впровадження виправдане насамперед там, де працюють із чутливими даними клієнтів, зарплатами чи банківськими доступами.

EDR не замінює інших заходів. Як і раніше потрібні керування оновленнями, резервні копії поза мережею, двофакторна автентифікація і навчання людей. Це ще один шар, який ловить те, що проскочило крізь інші.

Страхові під час кіберстрахування дедалі частіше питають, чи використовує фірма EDR, і без нього можуть запропонувати гірші умови чи відмовити. Для фірм, що підпадають під NIS2, виявлення інцидентів входить до обов’язкових заходів.

На що звернути увагу

Найчастіша помилка - впровадити EDR, але сповіщень ніхто не читає. Система, що вночі повідомляє про підозрілу активність на сервері, допоможе, лише якщо хтось відреагує. Або фірма має мати людину, яка розбирає сповіщення, або сервіс із керуванням.

Обережно і з пристроями поза охопленням, наприклад старим сервером, ноутбуком директора чи комп’ютером на складі. Зловмисники шукають саме найслабше місце, і одного незахищеного пристрою може вистачити.