Végpontvédelem (EDR/XDR)
Viselkedésalapú végpontvédelmet vezetünk be a munkaállomásokon és a szervereken. A folyamatos felügyeletet a gyártó menedzselt szolgáltatása (MDR) adja, mi tartjuk vele a kapcsolatot és gondozzuk a beállításokat. Ezt az üzemeltetési részt egyedi megállapodás alapján, az ügyféllel egyeztetett keretek között vállaljuk.
Mikor van rá szükség
Jelek, hogy a végpontokon hiányos a védelem
Sok szervezet azért hiszi rendben a végpontokat, mert van rajtuk valamilyen védelem. Az alábbi helyzetek bármelyike azt jelzi, hogy ez kevés.
Csak hagyományos vírusirtó fut a gépeken
A vírusirtó az ismert kártevők lenyomatát keresi. A mai támadások jelentős része fájl nélkül, legitim rendszereszközökkel, például parancsértelmezővel vagy szkriptmotorral dolgozik. Ezt csak a viselkedést figyelő védelem veszi észre a folyamat-láncból.
A szerverek kimaradtak
Sok bevezetés megáll a munkaállomásoknál, pedig a támadás a szervereken folytatódik. A tartományvezérlőn és a fájlszerveren futó végpontvédelem különösen értékes.
Nem lehet visszakeresni egy új indikátort
Ha hetekkel később derül ki egy kompromittálódási indikátor, tudni kell, előfordult-e már a környezetben. Erre csak akkor van válasz, ha a rendszer a riasztások mellett a telemetriát is megőrzi.
Az EDR telepítve van, de senki nem nézi
Gyakori, hogy a szervezet figyelő módban hagyja az EDR-t, mert tart a téves blokkolástól, és évekig egyetlen riasztást sem néz meg senki.
A bevezetés menete
A leltártól az átadásig
Az EDR annyit ér, amennyire be van állítva, ezért a telepítés előtt és után is van teendő.
-
Leltár és megoldásválasztás
Számba vesszük a végpontokat és az operációs rendszereiket, mert ahol nem fut ügynök, ott a támadó zavartalanul dolgozhat. A leltár alapján eldöntjük, elég-e a meglévő megoldás beállítása, vagy új termék kell; új bevezetésnél az ESET és a Trend Micro megoldásaival dolgozunk.
-
Telepítés és szabálykészlet
Feltelepítjük az ügynököt a végpontokra, és kialakítjuk a szabálykészletet.
-
Hangolás
Az első időszakban derül ki, mely legitim eszközök váltanak ki riasztást. Minden téves riasztásnál dönteni kell: kivétel, szabály-finomítás vagy elfogadás. A kivételek szűkek és dokumentáltak maradnak.
-
Képzés és átadás
A rendszergazdák megtanulják a konzol napi használatát, és írásban megkapják a végleges beállításokat.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- Végpontleltár és megoldásválasztás
- Telepítés és szabálykészlet-kialakítás
- 30 napos hangolási időszak
- Adminisztrátori képzés és átadási dokumentáció
Kapcsolódó szolgáltatások
Ami a végpontvédelem mellé tartozik
A kiválasztás szempontjairól és a mérőszámokról az EDR kiválasztásáról szóló cikkünkben írtunk.
Patch- és frissítéskezelés
Az operációs rendszerek és a harmadik féltől származó alkalmazások frissítéseinek központosított, ütemezett kezelése.
E-mail biztonság
Védelem az adathalász levelek, a kártékony mellékletek és hivatkozások ellen, a meglévő levelezőrendszerhez illesztve.
Incidenskezelési készenlét
Szerződésben rögzített rendelkezésre állás biztonsági incidens esetére: elhárítás, a terjedés megállítása és helyreállítás.
Gyakori kérdések
Amit a legtöbben kérdeznek
Mit tud az XDR az EDR-hez képest?
Az XDR az EDR kiterjesztése több adatforrásra: a végpont mellett a hálózatra, a levelezésre és a felhőre. Így az egyes riasztásokból összefüggő támadási lánc rajzolódik ki. A többi szakkifejezést a fogalomtárban gyűjtöttük össze.
Le kell cserélnünk a meglévő végpontvédelmet?
Az esetek többségében nem. A meglévő végpontvédelem gyakran tud viselkedésalapú detektálást, csak senki nem állította be. Új beszerzést csak ott javaslunk, ahol valódi képességhiány van.
Mi a teendő ott, ahová nem telepíthető ügynök?
A régi rendszereken gyakran nem fut ügynök. Ilyenkor kompenzáló kontroll kell: szigorú szegmentálás és fokozott hálózati monitorozás. Ipari környezetben ez az általános helyzet, erről az OT-végpontvédelemről szóló cikkünkben írtunk.
Beköthető az EDR a SIEM-be?
Érdemes erre már a kiválasztásnál figyelni. Az EDR az egyik legsűrűbb jelforrás, és ha az adatai nem exportálhatók, elszigetelten marad. A naplók központi gyűjtéséről és összevetéséről a SIEM oldalán írunk.
