EDR to skrót od Endpoint Detection and Response (Wykrywanie i reagowanie na punkty końcowe). Czasami słyszy się również Endpoint Threat Detection and Response (ETDR). EDR to zintegrowane rozwiązanie zabezpieczające punkty końcowe, które łączy monitorowanie w czasie rzeczywistym i zbieranie danych z punktów końcowych z automatyczną reakcją i analizą opartą na regułach.
Identyfikuje ono podejrzane zachowania i zagrożenia na punktach końcowych w środowisku i odpowiednio alarmuje administratorów. Badając cały cykl życia zagrożenia, można zrozumieć, co się stało, jak się dostało, dokąd poszło, co robi i jak je powstrzymać. Dzięki powstrzymaniu zagrożenia w punkcie końcowym, rozwiązania EDR pomagają wyeliminować zagrożenie i zapobiec jego rozprzestrzenianiu się.
Kluczowe funkcje rozwiązań EDR
To, czego potrzebujesz w rozwiązaniu EDR, zależy od potrzeb Twojej organizacji. Powinno ono jednak zawsze stanowić wartość dodaną dla zespołu bezpieczeństwa, nie uszczuplając zasobów. Ważne funkcje wykrywania i reagowania na punkty końcowe to:
- Wywiad o zagrożeniach i wgląd w nie
- Dokładność i szybkość wykrywania, aby wykryć napastników
- Szybkie i zdecydowane działania naprawcze
- Widoczność w czasie rzeczywistym i historycznym
- Wykrywanie i korelacja złośliwych zachowań z wykorzystaniem AI/ML
Jakie są korzyści płynące z rozwiązania EDR?
Widoczność jest jednym z głównych słów kluczowych w rozwiązaniach EDR. Narzędzia te zapewniają zarówno głęboką, jak i szeroką widoczność zagrożeń, a do wykrywania ataków wykorzystują narzędzia uczenia maszynowego.
Ze względu na bogaty poziom szczegółów zbieranych przez rozwiązanie EDR, reakcja i działania naprawcze po naruszeniu mogą być uproszczone. W przeszłości zbieranie danych z różnych punktów końcowych zajmowało osobie odpowiedzialnej za reagowanie na incydenty dużo czasu. Ale dzięki EDR dane te są automatycznie zbierane i przechowywane. Daje to osobie odpowiedzialnej za reagowanie pełniejszy obraz incydentu bezpieczeństwa niż ten, który byłby dostępny w innym przypadku.
EDR nie działa w oparciu o listę znanych wirusów. Aktywnie poszukują podejrzanych zachowań w sieci. Narzędzie nie reaguje na normalne zachowanie użytkownika, ale podejmuje działania, gdy zauważone zostanie podejrzane zachowanie. Kiedy atak zostanie wykryty i uniemożliwiony, EDR podzieli się szczegółami tego ataku z innymi punktami końcowymi w twojej sieci. Te punkty końcowe staną się odporne na ten atak.
