Ochrona urządzeń końcowych - EDR

Większość twórców rozwiązań EPP (lub tradycyjnych antywirusów) twierdzi, że ich rozwiązania blokują większość zagrożeń. Ale co z najbardziej ukrytymi zagrożeniami, które umykają ich uwadze? Posiadanie rozwiązania EDR pozwala na wykrywanie, analizę i usuwanie nowoczesnych zagrożeń, które są na tyle zaawansowane, że są w stanie ominąć tradycyjne mechanizmy bezpieczeństwa.

Bardziej wyrafinowane zagrożenia, które omijają zabezpieczenia, mogą siać spustoszenie w całej sieci. Oprogramowanie typu ransomware szyfruje dane i przetrzymuje je jak zakładników do momentu uzyskania okupu. W międzyczasie, oprogramowanie typu cryptomining siedzi ukradkiem w sieci i wyczerpuje zasoby obliczeniowe. Rozwiązanie EDR może pomóc w szybkim znalezieniu, opanowaniu i usunięciu zagrożeń, dzięki czemu można zapewnić bezpieczeństwo danych na punktach końcowych w całym środowisku.

Zrozumienie kluczowych aspektów działania EDR i dlaczego są one ważne, pomoże lepiej rozeznać się, czego szukać w danym rozwiązaniu. Ważne jest, aby znaleźć EDR, który zapewni najwyższy poziom ochrony, a jednocześnie będzie wymagało jak najmniejszego nakładu pracy i inwestycji – dodając wartość do zespołu bezpieczeństwa, bez uszczuplania zasobów. Poniżej przedstawiamy sześć kluczowych aspektów EDR, na które należy zwrócić uwagę:

1. Widoczność w czasie rzeczywistym na wszystkich punktach końcowych pozwala na obserwowanie podejrzanych działań i natychmiastowe ich powstrzymanie.
2. Skuteczne EDR wymaga ogromnych ilości telemetrii zbieranej z punktów końcowych i wzbogaconej o kontekst, dzięki czemu może być analizowana w poszukiwaniu oznak ataku za pomocą różnych technik analitycznych.
3. Poleganie wyłącznie na metodach opartych na sygnaturach lub wskaźnikach naruszenia prowadzi do „cichej porażki”, która umożliwia naruszenie danych. Skuteczne wykrywanie i reagowanie wymaga podejścia behawioralnego, które opiera się na wskaźnikach ataku dzięki czemu użytkownik jest ostrzegany o podejrzanych działaniach, zanim dojdzie do naruszenia bezpieczeństwa.
4. EDR, który umożliwia szybką i precyzyjną reakcję na incydenty, może powstrzymać atak zanim stanie się on naruszeniem i pozwolić organizacji na szybki powrót do pracy.

Anty-malware jest nadal kluczowym elementem rozwiązań EDR. Starsze generacje oprogramowania antywirusowego wykrywają zagrożenia na podstawie sygnatury, aby móc wykryć złośliwe oprogramowanie. Nowa generacja rozwiązań EDR zawiera analizę predykcyjną i zaawansowane wykrywanie zagrożeń, aby lepiej chronić użytkowników. Dodatkowe funkcje występujące w rozwiązaniach EDR, które nie są zawarte w tradycyjnych rozwiązaniach AV, obejmują:

• Usuwanie złośliwego oprogramowania w oparciu o dopasowane sygnatury i analizę
• Ochrona antyspyware
• Lokalny firewall
• Kontrola aplikacji i zarządzanie użytkownikami
• IDS i IPS
• Kontrola danych, w tym urządzeń przenośnych
• Pełne szyfrowanie dysków
• Zapobieganie wyciekom danych
• Whitelisting aplikacji

EDR ma na celu ochronę danych przedsiębiorstwa przed atakami zero-day poza punktem końcowym – łącząc telemetrię, kontekst aktywności procesów i zachowania użytkowników.

Niektóre zachowania, które mogą wyglądać normalnie – na przykład logowanie się użytkownika przy użyciu ważnego loginu i hasła – niekoniecznie wzbudziłyby wątpliwości tradycyjnego antywirusa. Jednakże, zdarzenie logowania może być podejrzane, jeżeli użytkownik loguje się z wielu lokalizacji w krótkim czasie. EDR analizuje aktywność plików, zdarzenia użytkowników oraz telemetrię perymetryczną w celu identyfikacji nietypowych zachowań z dodanym kontekstem: tak, aby nawet pozornie nieszkodliwa aktywność była rozpatrywana tak, aby uzyskać szerszy obraz.