EDR

Opis

Iz tog zapisa se posle sklapa redosled: koji je proces bio prvi, šta je pokrenulo njega, gde se isti nalog prijavio i koje mašine treba izolovati. EDR ume i da prekine — da zaustavi proces ili odseče uređaj sa mreže.

Alat sam po sebi ne odlučuje. Izolacija uređaja zaustavlja i posao koji na njemu radi, pa iza EDR-a mora stajati neko ko gleda i ko sme da donese tu odluku. Bez toga zapis postoji, ali se čita tek posle štete.

Šta se često čuje

• EDR automatski zaustavlja sve pretnje bez ljudskog angažovanja.
• Instalirali smo agenta, time je posao završen.
• Izolacija uređaja nema posledice po poslovanje.

Pokriva / ne pokriva

Pokriva

• Beleženje procesa, naloga, fajlova i mrežnih veza na uređaju
• Prepoznavanje sumnjivog sleda radnji, a ne pojedinačnog fajla
• Sklapanje vremenskog toka incidenta na kompromitovanom uređaju
• Izolaciju uređaja i zaustavljanje procesa na daljinu

Ne pokriva

• Napade koji ne ostavljaju trag na krajnjoj tački
• Servise u oblaku van dosega agenta
• Uređaje na kojima agent ne radi ili nema dovoljna prava
• Stalni ljudski nadzor i vođenje odgovora (to je MDR)