Внедряем системы, которые видят атаку там, где антивирус уже бессилен: EDR — на рабочих станциях и серверах, NDR — в сетевом трафике. Вместе они обнаруживают целевые атаки, шифровальщиков и действия злоумышленника, который уже проник внутрь, — и позволяют на них отреагировать.
Антивирус ловит известное вредоносное ПО. Но целевая атака, шифровальщик под конкретную жертву или живой злоумышленник внутри сети выглядят не как вирус, а как подозрительное поведение. EDR и NDR ловят именно поведение.
Обе системы обнаруживают атаки по поведению, а не по сигнатурам, но смотрят с разных сторон.
На конечных точках. Агент на рабочих станциях и серверах видит, что происходит на самом устройстве: какие процессы запускаются, что они делают, какие изменения вносятся. Обнаруживает вредоносную активность, даже если файл не опознан как вирус, и позволяет отреагировать — изолировать устройство, остановить процесс, откатить изменения.
В сетевом трафике. Анализирует трафик и видит то, что не видно на отдельном устройстве: перемещение злоумышленника по сети, обращения к командным серверам, разведку, аномальные потоки данных. Обнаруживает атаку по её следам в сети, даже если на конечных точках агента нет.
Три класса систем часто путают.
Ловит известное вредоносное ПО по сигнатурам. Необходим, но против целевой атаки под конкретную жертву бессилен: у неё нет сигнатуры.
Ловят атаку по поведению и аномалиям, даже когда вредоносного файла как такового нет. И, в отличие от антивируса, позволяют реагировать и расследовать, а не только блокировать.
Собирает события со всех систем и выявляет инциденты по корреляции. EDR и NDR — важные источники для SIEM, но сами по себе они про обнаружение и реагирование на конкретных уровнях, а не про сбор всего.
Атака под конкретную организацию не опознаётся антивирусом. EDR и NDR обнаруживают её по поведению: подозрительные процессы, шифрование файлов, обращения к управляющим серверам.
Проникновение — не мгновенное событие. Между первым доступом и ущербом злоумышленник перемещается по сети, закрепляется, ищет цель. В этот момент его и можно обнаружить и остановить — если есть чем.
Обнаружить мало, нужно отреагировать: изолировать заражённое устройство, прервать сессию, локализовать. EDR/NDR дают инструменты реагирования, а не просто оповещение.
После инцидента EDR и NDR отвечают на вопросы, как проникли, что успели, куда дошли, — без них расследование строится на догадках.
Мониторинг и реагирование опираются на данные EDR и NDR. Без них SOC видит лишь часть картины.
Изучаем инфраструктуру: рабочие станции и серверы, сеть, действующие средства защиты, критичные сегменты. Определяем, где нужны агенты EDR, где — контроль трафика NDR.
Подбираем EDR и/или NDR под инфраструктуру, задачи и бюджет. Если решение выбрано — работаем с ним.
Разворачиваем на ограниченном участке в режиме наблюдения. Смотрим на реальную активность, оцениваем нагрузку и совместимость, калибруем чувствительность.
Настраиваем правила и политики под вашу инфраструктуру, чтобы система ловила реальные угрозы и не тонула в ложных срабатываниях. Соотносим покрытие обнаружения с техниками MITRE ATT&CK — чтобы видеть, какие приёмы атакующего система выявляет, а где остаются пробелы. Определяем сценарии автоматического реагирования.
Встраиваем в инфраструктуру и в мониторинг: передача событий в SIEM, увязка с процессами реагирования, при необходимости — с песочницей и другими средствами.
Переводим из наблюдения в активный режим, настраиваем реагирование, обучаем команду разбирать срабатывания и действовать по инцидентам.
Донастройка правил, снижение шума, адаптация к новым угрозам и изменениям инфраструктуры.
В аббревиатурах EDR и NDR буква R — Response, реагирование. Про неё часто забывают, внедряя систему как ещё один детектор, который шлёт оповещения в пустоту.
Обнаружение без реагирования бесполезно: если система увидела шифровальщика, но никто не изолировал машину за минуты, ущерб уже нанесён. Поэтому мы настраиваем не только обнаружение, но и реакцию:
Внедряем сертифицированные отечественные решения обнаружения и реагирования:
Сведения об инфраструктуре: число рабочих станций и серверов, ОС, топология сети
Критичные сегменты и системы, которые важнее всего защитить
Действующие средства защиты: антивирус, SIEM, средства мониторинга
Есть ли SOC или команда, которая будет реагировать
Действующие EDR/NDR, если внедрялись
Применимые требования: ИСПДн, ГИС, КИИ, отраслевые
Ограничения: бюджет, сроки
Обследование с определением, где нужны EDR-агенты и контроль трафика NDR
Обоснованный выбор решений
Развёрнутые и настроенные системы обнаружения и реагирования
Правила и политики под вашу инфраструктуру, с контролем ложных срабатываний
Настроенное реагирование: автоматическое и сценарии для операторов
Интеграцию с SIEM и процессами реагирования
Обученную команду
Сопровождение и донастройку
При аудите имеющейся системы — приведение её в рабочее состояние
Зависят от масштаба инфраструктуры и глубины настройки. На объём влияет:
Число рабочих станций и серверов под EDR
Объём и сложность сети под NDR
Только EDR, только NDR или оба
Глубина настройки реагирования и число сценариев
Интеграция с SIEM и SOC
Нужно ли сопровождение
Антивирус ловит известное вредоносное ПО по сигнатурам и необходим, но против целевой атаки под вашу организацию бессилен — у неё нет сигнатуры. EDR и NDR ловят атаку по поведению и позволяют на неё отреагировать. Это разные уровни защиты, а не замена одного другим.
EDR смотрит изнутри устройств — что происходит на рабочих станциях и серверах. NDR смотрит в сеть — что происходит в трафике между ними. Одно видит то, что пропускает другое, поэтому их и ставят вместе.
Современные агенты рассчитаны на минимальное влияние, но нагрузку и совместимость мы проверяем на пилоте, прежде чем разворачивать на всех. Это часть внедрения.
Ключевой вопрос, который решаем при внедрении. Реагировать может ваша команда, ваш SOC или внешний мониторинг. Часть реакций автоматизируется, для остального готовим сценарии и обучаем людей. Если реагировать некому — это отдельная задача, которую тоже поможем закрыть.
Да, но с оговорками. Для технологических сетей и АСУ ТП применяем щадящие сценарии: NDR анализирует трафик пассивно, не вмешиваясь в работу оборудования, а EDR-агенты ставим только там, где это допустимо для конкретных систем. Что применимо к вашему технологическому контуру, определяем на обследовании — принцип тот же, что во всех наших проектах с АСУ ТП: защита не должна нарушать технологический процесс.
Частая ситуация. Проводим аудит, настраиваем правила под вашу инфраструктуру, снижаем шум, выстраиваем реагирование и интеграцию с мониторингом, чтобы система давала результат, а не поток бесполезных сообщений.
Расскажите о задаче — защита от целевых атак и шифровальщиков, обнаружение злоумышленника в сети, реагирование или оживление уже купленной системы. Проведём обследование и предложим решение и план.