Co to jest wykrywanie i reakcja punktu końcowego?

Ponieważ coraz więcej pracowników uzyskuje zdalny dostęp do sieci firmowej lub przynosi do pracy własne urządzenia, zapotrzebowanie na rozwiązania monitorujące punkty końcowe wzrosło. W końcu każde urządzenie łączące się z naszą siecią stanowi potencjalne zagrożenie dla naszych systemów i danych.

Co to jest oprogramowanie do wykrywania i reagowania punktów końcowych

Endpoint Detection and Response (EDR) to rodzaj oprogramowania przeznaczonego do monitorowania punktów końcowych w sieci pod kątem podejrzanej aktywności.

„Punkt końcowy” to dowolne urządzenie łączące się z naszymi sieciami, takie jak laptop, komputer stacjonarny lub urządzenie mobilne.

Rozwiązania EDR skupiają się przede wszystkim na zapewnieniu wglądu w działania związane ze złośliwym oprogramowaniem i innymi wektorami ataków. Większość rozwiązań EDR jest w stanie agregować i korelować dane o zdarzeniach z szerokiej gamy źródeł. Mogą na przykład jednocześnie monitorować punkty końcowe ze środowisk lokalnych i chmurowych oraz wyświetlać wyniki za pośrednictwem jednej konsoli. Mogą także gromadzić i analizować źródła informacji o zagrożeniach, aby pomóc im zidentyfikować różne typy złośliwego oprogramowania.

W obecnej sytuacji większość rozwiązań EDR jest dostępna tylko dla środowisk Windows, jednak niektóre nowsze rozwiązania można zainstalować na innych systemach operacyjnych, takich jak Linux, Unix, iOS i Android.

Jak EDR wypada w porównaniu z innymi technologiami monitorowania kłód?

Świat bezpieczeństwa danych jest pełen akronimów i modnych haseł używanych do opisywania podobnych do siebie technologii, co w naturalny sposób powoduje zamieszanie wśród decydentów. Poniżej znajduje się kilka porównań, które mogą pomóc w wyjaśnieniu różnic między EDR a innymi podobnymi technologiami.

Antywirus EDR VS

Biorąc pod uwagę, że głównym celem rozwiązania EDR jest identyfikacja zagrożeń bezpieczeństwa na punktach końcowych, niektórzy mogą założyć, że oprogramowanie EDR to to samo, co oprogramowanie antywirusowe. Jednak tak nie jest w rzeczywistości. Można pomyśleć o rozwiązaniu AV jako o części rozwiązania EDR, ale jako samodzielne produkty różnią się one pod wieloma ważnymi względami.

Po pierwsze, rozwiązania EDR mają znacznie większy zakres niż większość tradycyjnych rozwiązań AV.

Głównym celem oprogramowania antywirusowego jest skanowanie, wykrywanie i usuwanie wirusów i innych rodzajów złośliwego oprogramowania z punktu końcowego. Z drugiej strony rozwiązanie EDR zapewni także rozwiązania w postaci firewalli, systemów zapobiegania włamaniom, narzędzi do tworzenia białych list, narzędzi monitorowania, pulpitu nawigacyjnego i nie tylko.

Rozwiązanie EDR może pomóc w ochronie przed zaawansowanymi trwałymi zagrożeniami (APT), czego nie są w stanie zapewnić tradycyjne rozwiązania antywirusowe, ponieważ nie mają możliwości audytu w czasie rzeczywistym.

Większość rozwiązań antywirusowych działa na zasadzie dopasowywania sygnatur znanych wirusów, co jest wystarczające do wykrywania istniejących zagrożeń, ale nie jest zbyt pomocne, gdy zagrożenia są unikalne i ukierunkowane.

Rozwiązanie EDR będzie wykorzystywać szeroką gamę technik i źródeł danych do identyfikacji złośliwego oprogramowania, w tym wektorów ataku, które nie zostały wcześniej zidentyfikowane.

Rozwiązanie EDR może agregować i korelować dane o zdarzeniach z serwerów DNS, gniazd, zrzutów pamięci, wywołań systemowych, adresów IP i innych, próbując identyfikować podejrzane działania i reagować na nie.

EDR kontra SIEM

Rozwiązania EDR i SIEM mają wiele nakładających się funkcji/możliwości, co może oszukać ludzi, myśląc, że są takie same. Główna różnica między nimi polega na tym, że zarządzanie informacjami i zdarzeniami dotyczącymi bezpieczeństwa (SIEM) nie ogranicza się do monitorowania punktów końcowych.

Na przykład rozwiązania SIEM mogą agregować dane o zdarzeniach z zapór sieciowych, serwerów, routerów, przełączników, serwerów proxy i systemów zapobiegania włamaniom (IPS).

Mogą także zbierać dane dzienników z aplikacji, baz danych i repozytoriów. W rzeczywistości wszystko, co jest w stanie generować dzienniki zdarzeń, może być monitorowane za pomocą rozwiązania SIEM. To samo nie dotyczy rozwiązań EDR.

EDR kontra DCAP

Data-Centric Audit & Protection (DCAP) to kolejny akronim używany do opisania platform, które mogą gromadzić i korelować dane o zdarzeniach z wielu źródeł, w tym zarówno ze środowisk lokalnych, jak i opartych na chmurze.

Jednak w przeciwieństwie do rozwiązań EDR i SIEM, rozwiązania DCAP skupiają się na zmianach wprowadzanych na kontach uprzywilejowanych i poufnych danych, takich jak chronione informacje zdrowotne (PHI), informacje o kartach płatniczych (PCI) i inne formy danych osobowych (PII). Istnieją inne terminy powiązane z DCAP, takie jak analiza zachowań użytkowników (UBA), zarządzanie dostępem uprzywilejowanym (PAM), zarządzanie dostępem do tożsamości (IAM) i inne.

W przeciwieństwie do większości rozwiązań SIEM, zarówno rozwiązania EDR, jak i DCAP są w stanie generować alerty w czasie rzeczywistym, które można wysyłać do skrzynki odbiorczej lub aplikacji mobilnej. Dzięki temu administratorzy mogą szybko reagować na potencjalne zagrożenia.

Niektóre z bardziej wyrafinowanych rozwiązań DCAP są w stanie automatycznie wykrywać i reagować na zdarzenia spełniające wcześniej zdefiniowany warunek progowy, takie jak wielokrotne nieudane próby logowania lub zaszyfrowanie określonej liczby plików w określonym przedziale czasu.

Jest to oczywiście pomocne, jeśli chodzi o zapobieganie rozprzestrzenianiu się oprogramowania ransomware. Na przykład, jeśli X plików zostało zaszyfrowanych w ciągu Y sekund, można wykonać niestandardowy skrypt, który może wyłączyć konto użytkownika, zatrzymać określony proces, zmienić ustawienia zapory ogniowej, zainicjować tworzenie kopii zapasowej, zamknąć serwer, którego dotyczy problem, itd. NA.

Jak widać rozwiązania EDR, AV, SIEM i DCAP nie są do końca konkurencją technologiczną. W rzeczywistości mogą się one uzupełniać, jeśli są wykorzystywane zgodnie z ich przeznaczeniem.