Co to jest EDR i dlaczego jest tak ważny dla bezpieczeństwa małych i średnich firm? - Blog o bezpieczeństwie

Aktualny krajobraz zagrożeń i bezpieczeństwo punktów końcowych

Ponad 7 miliardów urządzeń na całym świecie w zawsze aktywnym i stale połączonym świecie stanowi miękki cel dla dzisiejszego atakującego. Niezależnie od tego, czy chodzi o zarabianie na danych, czy o składanie oświadczeń politycznych, przeciwnicy są dobrze finansowani i obsadzeni w walce o dostęp do punktów końcowych i kontrolę. Tradycyjne metody zabezpieczania punktów końcowych, takie jak oprogramowanie antywirusowe, nie są w stanie sprostać rosnącemu wyrafinowaniu i liczbie zaawansowanych zagrożeń występujących w obecnym krajobrazie zagrożeń. Według Instytutu Ponemon ponad 52% firm doświadczyło incydentu bezpieczeństwa, który ominął tradycyjne zabezpieczenia. Współczesne zagrożenia cyberbezpieczeństwa wymykają się wykryciu na podstawie sygnatur i są bezużyteczne w obliczu zaawansowanych zagrożeń, takich jak zagrożenia wewnętrzne, ataki typu zero-day i złośliwe oprogramowanie bez plików. Ta rosnąca luka w zabezpieczeniach jest katalizatorem rozwiązań do wykrywania i reagowania na punktach końcowych.

Co to jest EDR?

Wykrycie naruszeń danych zajmuje średnio 197 dni, a organizacje często otrzymują powiadomienie za pośrednictwem organów ścigania lub usług sprzedawców posiadaczy kart, zamiast samodzielnie wykryć naruszenie. Skrócenie czasu, jaki atakujący spędzają w organizacji - zwanego czasem przebywania - i wcześniejsze wykrywanie incydentów może radykalnie obniżyć koszty naruszenia danych i chronić reputację marki. Firma Gartner Research definiuje rozwiązania do wykrywania i reagowania punktów końcowych (EDR) jako te, które rejestrują i przechowują zachowania na poziomie systemu końcowego, wykorzystują różne techniki analizy danych do wykrywania podejrzanych zachowań systemu, dostarczają informacji kontekstowych, blokują złośliwą aktywność i przedstawiają sugestie dotyczące środków zaradczych w celu przywrócenia dotkniętych systemy. Zwykle istnieją dwa podejścia produktowe do EDR: samodzielnie zarządzane oprogramowanie EDR lub usługa zarządzana. Organizacje niezależnie od wielkości i branży wykorzystują EDR i wykrywanie anomalii jako kluczowy sposób zapobiegania atakom na cyberbezpieczeństwo, ich wykrywania, reagowania i przewidywania. Ponadto Gartner Research prognozuje trzykrotny wzrost stosowania EDR do roku 2020.

Jakie są uważane za krytyczne możliwości EDR?

Rynek EDR wciąż ewoluuje, a rozwiązania i dostawcy różnią się znacznie pod względem funkcji i zakresu. Jednak większość rozwiązań EDR obejmuje pięć podstawowych funkcji:

Od wglądu w rozwój ataków na punkty końcowe po analizę przyczyn źródłowych i blokowanie rzeczywistych zagrożeń - szybkie wykrywanie jest niezbędne, aby wcześnie zatrzymać zagrożenia. Chociaż wiele małych i średnich firm (SMB) rozumie potrzebę większej skuteczności zabezpieczeń, mogą nie znać wszystkich opcji zaawansowanego wykrywania zagrożeń lub nie wiedzieć, od czego zacząć. Zbyt często przepracowane zespoły IT decydują się na ponowne wykonanie obrazu laptopa bez pełnego zbadania pierwotnej przyczyny i badania kryminalistycznego dotyczącego zakresu kompromisu. Wynik? Pętla ponownych kompromisów, gdy przeciwnik wykorzystuje systemowe słabości ludzi, procesów i technologii, które negatywnie wpływają na odporność biznesową.

Jakie ograniczenia istnieją w przypadku tradycyjnych zabezpieczeń antywirusowych?

Oprogramowanie antywirusowe (AV) to tradycyjne narzędzie bezpieczeństwa, które opiera się na stale rosnącej bibliotece rozpoznawania na podstawie sygnatur. Według „Endpoint Protection and Response: ankieta SANS” z czerwca 2018 r. atakujący dostosowują się do zmieniającego się krajobrazu zagrożeń, zmieniając i mutując swoją taktykę, często stosując inżynierię wsteczną narzędzi antywirusowych, aby dowiedzieć się, jak ominąć wykrywanie. więcej naruszeń danych, małe i średnie firmy zdają sobie sprawę, że oprogramowanie antywirusowe ma pewne znaczne wady. Niektóre ograniczenia programu antywirusowego obejmują:

• Nieskuteczna widoczność: ponieważ opiera się na wykrywaniu na podstawie sygnatur, tradycyjny program antywirusowy nie wykrywa pojawiających się nieznanych zagrożeń ani ataków dnia zerowego. Osoby atakujące często dokonują niewielkich zmian w złośliwym oprogramowaniu, aby utworzyć nowy wariant z nową wartością skrótu; stają się biegli w zacieraniu śladów. EDR może wykrywać nowe i nieznane zagrożenia, a także chronić przed zagrożeniami wewnętrznymi, złośliwymi lub niezamierzonymi, wykrytymi dzięki analizie behawioralnej.
• Ograniczony wgląd w działania atakującego: oprogramowanie antywirusowe i programy antywirusowe nowej generacji skupiają się na technikach zapobiegania, a nie na wykrywaniu i badaniu. EDR pomaga określić, w jaki sposób osoba atakująca dostała się do organizacji oraz ścieżkę kompromisu zwaną „łańcuchem zabicia cyberbezpieczeństwa”. EDR umożliwia również badania kryminalistyczne, dzięki czemu możesz wykryć ruch boczny w organizacji i mieć pewność, że zainfekowane urządzenia zostaną w pełni wykryte.
• Fałszywe poczucie bezpieczeństwa: niegdyś podstawowe narzędzie bezpieczeństwa każdej organizacji, skuteczność programów antywirusowych spadła w ostatnich latach wraz z eksplozją gospodarki hakerskiej, aby zarabiać na zagrożeniach takich jak oprogramowanie ransomware i unikać wykrycia przy niskim i powolne podejście. Według badania SANS dotyczącego punktów końcowych, tradycyjny program antywirusowy wychwytuje jedynie 47% zagrożeń dla punktów końcowych (5). Organizacje mogą dać się zwieść fałszywemu poczuciu niezwyciężoności, które tworzy lukę w ryzyku z powodu niewystarczających inwestycji w bezpieczeństwo.
• Podrabianie danych uwierzytelniających: naruszone dane uwierzytelniające to prawidłowe loginy komputerowe składające się z kombinacji nazwy użytkownika i hasła, które zostały ujawnione w wyniku naruszenia bezpieczeństwa danych. Te skradzione loginy są prawidłowymi loginami i działają, jeśli hasła nie zostały zresetowane. Hakerzy mogą wykorzystać ponad 1,4 miliarda skradzionych danych uwierzytelniających znajdujących się w głębokiej i ciemnej sieci, aby uzyskać dostęp do wrażliwych systemów i partnerów w łańcuchu dostaw małych i średnich przedsiębiorstw większych przedsiębiorstw. Chociaż narzędzia antywirusowe nie wykryją fałszowania danych uwierzytelniających, rozwiązania EDR z analizą behawioralną mogą wykryć przeciwników logujących się w podejrzanych porach lub z krajów, w których Twoja organizacja nie działa.

Chociaż narzędzia antywirusowe i antywirusowe nowej generacji (NGAV) zapewniają pewien poziom ochrony, potrzebne są warstwowe zabezpieczenia, aby ograniczyć ukryte i mutujące zagrożenia. Jednym z takich podejść jest wykrywanie i reagowanie na punkty końcowe (EDR). Organizacje mogą zwiększyć skuteczność cyberbezpieczeństwa, integrując EDR oraz zarządzanie informacjami i zdarzeniami dotyczącymi bezpieczeństwa (SIEM), a wszystko to za pomocą usługi zarządzanej i całodobowego centrum operacyjnego bezpieczeństwa (SOC). Te trzy komponenty, jeśli są odpowiednio zintegrowane i zarządzane, zapewniają małym i średnim firmom potężną i wydajną zaawansowaną ochronę przed zagrożeniami.

Nasze podejście

Rozumiemy wyzwania, przed którymi stoisz w walce o bezpieczeństwo punktów końcowych. Netsurion EDR optymalizuje Twoją efektywność dzięki zarządzanej usłudze i całodobowemu SOC, wzmacniając Twój personel trudną do znalezienia wiedzą specjalistyczną w zakresie bezpieczeństwa. Zaprojektowany specjalnie dla małych i średnich firm, wykorzystuje automatyzację i uczenie maszynowe w celu uzyskania głębszych informacji, przydatnych informacji o zagrożeniach i wskazywania działań przeciwnika w czasie rzeczywistym. EventTracker EDR umożliwia szybkie wykrywanie i skuteczne reagowanie na cyberataki oraz odzyskiwanie sił po nich bez złożoności i wysokich kosztów związanych z rozdętym oprogramowaniem EDR dla przedsiębiorstw. EventTracker EDR jest naturalnie znacznie bardziej skuteczny w skracaniu czasu przebywania atakującego, gdy jest zintegrowany z naszym rozwiązaniem EventTracker SIEM (zarządzanie informacjami o bezpieczeństwie i zdarzeniami).

Wniosek

Incydenty związane z bezpieczeństwem są nieuniknione. Organizacje każdej wielkości muszą także dostosować się do zmieniającego się krajobrazu zagrożeń i dalej inwestować w możliwości wykrywania i reagowania. Dzięki ograniczonym zespołom i zasobom IT i bezpieczeństwa organizacje małych i średnich firm muszą skoncentrować się na ograniczeniu powierzchni ataku, która czyni je podatnymi na ataki, oraz udostępnieniu zintegrowanych rozwiązań, takich jak współzarządzane SIEM i zarządzana usługa EDR, które zapewniają dogłębną ochronę.