Обнаружение и реагирование на конечных точках (EDR)

Простыми словами

EDR показывает не только найденный вредоносный файл, но и цепочку действий: какой процесс его запустил, что изменилось в системе и с какими адресами было соединение. При подтверждённой угрозе узел можно изолировать или остановить опасный процесс.

Как применяется

EDR развёртывают на конечных точках, интегрируют с SOC и SIEM, настраивают политики обнаружения и полномочия реагирования. Аналитики используют дерево процессов, сетевые соединения и артефакты для определения масштаба атаки.

Пример применения

Почтовое вложение запускает неизвестный процесс, который создаёт задачу автозапуска и обращается к внешнему серверу. EDR сохраняет цепочку, блокирует процесс по политике и позволяет изолировать компьютер.

Не путать с

  • АнтивирусАнтивирус прежде всего предотвращает и удаляет известные угрозы
  • XDRXDR объединяет данные нескольких доменов, а не только конечных точек

Как это работает

  1. ТелеметрияАгент фиксирует процессы, файлы, реестр, соединения и действия пользователя на конечной точке.
  2. ОбнаружениеПоведенческие правила выделяют подозрительную цепочку, а не только отдельный файл.
  3. РасследованиеАналитик изучает дерево процессов, происхождение артефакта и связанные узлы.
  4. РеагированиеПроцесс останавливают, файл изолируют или конечную точку отключают от сети.

Продолжить изучение

Связанные термины

    Частые вопросы

    Чем EDR отличается от антивируса?

    EDR хранит детальную телеметрию и цепочки поведения, помогает расследовать атаку и выполнять действия реагирования, тогда как антивирус главным образом предотвращает известные угрозы.

    Какие действия реагирования выполняет EDR?

    В зависимости от продукта EDR может остановить процесс, поместить файл в карантин, изолировать узел, собрать артефакты или запустить удалённую команду.

    Чем EDR отличается от XDR?

    EDR фокусируется на конечных точках; XDR объединяет телеметрию конечных точек, почты, сети, облака и других доменов.

    EDR (Endpoint Detection and Response) — класс средств, которые собирают телеметрию рабочих станций и серверов, выявляют подозрительное поведение и предоставляют функции расследования и реагирования на конечной точке.