Есть парк устройств
Рабочие станции и серверы, для которых нужна базовая защита от вредоносного кода.
Нет услуг
Антивирус, EDR, СЗИ НСД
Антивирус, EDR и СЗИ НСД — защита конечных точек
Защищаем рабочие станции и серверы тремя разными по задаче классами средств: антивирусная защита предотвращает и обнаруживает вредоносное ПО, EDR собирает расширенную телеметрию и помогает расследовать сложные атаки и реагировать на них, СЗИ НСД реализует функции защиты от несанкционированного доступа и используется для выполнения применимых мер в регулируемых системах — ИСПДн, ГИС, значимых объектах КИИ.
Когда актуально
Когда актуально
Особенно актуально, если верно хотя бы одно из следующего.
Система регулируемая
ГИС, ИСПДн или значимый объект КИИ — и применимые требования предусматривают меры защиты конечных устройств и/или сертифицированные средства.
Нужно больше, чем антивирус
Нужно обнаруживать сложные и целенаправленные атаки, для которых требуется расширенная телеметрия, расследование и реагирование на конечной точке.
Уже были инциденты
На конечных точках или есть основания полагать повышенный риск целевых атак.
Нужен процесс, а не только продукт
Нужно построить процесс реагирования на инциденты конечных точек, а не только установить программу.
Для руководителя коротко. Задача этой услуги — подобрать и настроить сочетание средств защиты конечных точек, соответствующее реальному профилю риска и применимым требованиям, а не установить один продукт, который формально закрывает все три задачи сразу.
С чего начинаем
С чего начинаем, если защиты конечных точек ещё нет
Отсутствие готового понимания — стартовая точка, а не препятствие.
- Не знаете, какие требования применимы? Сначала определяем необходимые меры защиты и требования к оценке соответствия средств, затем решаем состав: антивирус, EDR, СЗИ НСД или их сочетание.
- Нет процесса реагирования на алерты? Без регулярного анализа телеметрии и определённого процесса значительная часть возможностей EDR остаётся неиспользованной — обсуждаем это до внедрения, а не после.
- Большой и разнородный парк устройств? Начинаем с инвентаризации и пилота на ограниченной группе, чтобы не остановить бизнес-процессы при массовом развёртывании.
- Ни антивирус, ни EDR, ни СЗИ НСД не гарантируют отсутствие успешной атаки — они снижают вероятность и упрощают обнаружение известных и части неизвестных угроз, каждый в своей области применения.
Смежные задачи
Как это соотносится с соседними услугами
Несколько услуг относятся к защите инфраструктуры, но действуют на разных уровнях.
Антивирус, EDR, СЗИ НСД
Защищают сами устройства.
SOC
Обеспечивает постоянное реагирование на то, что эти средства обнаруживают.
Pentest
Проверяет, можно ли всё это обойти.
Установленное средство защиты без процесса реагирования на его сигналы закрывает только часть задачи.
Три класса средств
Чем отличаются антивирус, EDR и СЗИ НСД
Эти три класса решают разные задачи и для многих регулируемых систем применяются вместе, а не как альтернативы друг другу.
Антивирус. Предотвращает и обнаруживает вредоносное ПО сигнатурными, эвристическими и другими механизмами; работает в реальном времени и по расписанию; обычно не даёт той же глубины телеметрии и расследования, что EDR; как правило, проще в эксплуатации.
EDR. Собирает телеметрию с конечных точек и обнаруживает подозрительное поведение, а не только известные сигнатуры; позволяет расследовать инцидент, изолировать устройство, реагировать удалённо; без регулярного анализа телеметрии значительная часть возможностей остаётся неиспользованной; требует более высокой квалификации персонала либо передачи в SOC.
СЗИ НСД. Реализует функции защиты от несанкционированного доступа — разграничение прав, контроль целостности и другие механизмы; в регулируемых системах важен действующий сертификат; сама по себе не заменяет ни антивирус, ни EDR.
Форматы работы
Форматы работы
От внедрения одного класса средств до полного сопровождения.
01
Антивирусная защита
- Подбор, установка, централизованное управление, настройка политик сканирования и обновления баз
02
EDR
- Установка агентов, настройка правил обнаружения, интеграция с процессом реагирования — своим или через передачу в SOC
03
Сертифицированные СЗИ НСД
- Подбор продукта с действующим сертификатом, настройка разграничения доступа, контроля целостности, доверенной загрузки
04
Регулярное сопровождение
- Обновление баз и правил, поддержка при проверках регулятора, донастройка политик
Процесс
Как мы выстраиваем защиту
От определения требований до передачи в сопровождение.
Определяем применимые требования.
Какие меры защиты и требования к оценке соответствия действуют для конкретной системы.
Проводим инвентаризацию парка.
Операционные системы, роли устройств, уже установленные средства защиты.
Подбираем состав средств.
Антивирус, EDR, СЗИ НСД или их сочетание — с учётом требований и модели угроз.
Настраиваем политики.
Сканирования, обновления баз, правил обнаружения EDR, разграничения доступа СЗИ НСД.
Внедряем пилотно.
На ограниченной группе устройств, чтобы не остановить рабочие процессы при массовом развёртывании.
Выстраиваем реагирование на алерты.
Для EDR это критично: определяем, кто и как разбирает срабатывания и что происходит дальше.
Разворачиваем на весь парк.
Поэтапно, с контролем производительности устройств.
Передаём в сопровождение.
Обновление баз, правил и политик, поддержка при проверках регулятора.
Результат
Что вы получаете
Понятный набор результатов вне зависимости от выбранного состава средств.
- Подобранный под применимые требования состав средств защиты конечных точек
- Настроенные политики сканирования, обнаружения и разграничения доступа
- Процесс реагирования на алерты EDR — свой или через передачу в SOC
- Материалы, подтверждающие выполнение применимых мер защиты
- Регулярное сопровождение и обновление баз, правил и политик
Особенности и ограничения
Особенности и ограничения
Честно фиксируем границы того, что решают эти средства.
Антивирус не всесилен
Эффективен против известного вредоносного кода, но не гарантирует обнаружение новых угроз и целевых атак под конкретную инфраструктуру.
EDR требует процесса
Автоматические действия возможны для согласованных сценариев, но сложные инциденты всё равно требуют разбора специалистом.
СЗИ НСД не обнаруживает угрозы
Закрывает конкретные регуляторные требования, но не заменяет обнаружение угроз — это разные задачи.
Возможно снижение производительности
При одновременной работе нескольких средств защиты — совместимость и нагрузку проверяем на пилоте.
Эскалация
Эскалация при критичном обнаружении
Порядок согласуется на установочной сессии и фиксируется в договоре.
Что фиксируем заранее
Назначенных представителей заказчика, порядок их замещения и канал связи; целевое время оповещения о критичном обнаружении; перечень типовых сценариев с заранее согласованным действием — например, изоляция устройства; порядок действий, если контакт недоступен.
Границы ответственности
Настройка средств защиты и передача обнаруженных инцидентов входят в услугу. Расследование за пределами конечной точки и полноценное реагирование — отдельные услуги, если иное не оговорено договором.
Метрики и конфиденциальность
Как измеряем результат и защищаем ваши данные
Показатели согласуем на старте, чтобы результат можно было оценивать по понятным критериям.
- Доля парка устройств с актуальной версией и актуальными базами антивирусной защиты
- Доля парка, охваченного EDR, с настроенным процессом реагирования на алерты
- Доля конечных точек, получивших актуальные базы в согласованный срок после публикации обновления
- Доля алертов EDR, доведённых до разбора, и время такого разбора
- Статус выполнения применимых требований по защите конечных точек
- Что не используем как показатель: общее число заблокированных файлов или сработавших алертов само по себе — не показывает реальный уровень риска
- Конфиденциальность: работа с этими средствами подразумевает доступ к телеметрии устройств, которая может содержать сведения о работе сотрудников
- Порядок фиксируется до начала работ — NDA, защищённые каналы, журналирование обращений к консолям управления, согласованный срок хранения материалов
Регуляторный контекст
Регуляторный контекст
Наличие продукта с маркировкой «EDR» само по себе не подтверждает выполнение применимых требований.
Меры АВЗ
Методический документ ФСТЭК России от 12.04.2026, детализирующий приказ № 117, предусматривает группу мер АВЗ: АВЗ.1 — антивирусная защита устройств, АВЗ.2 — защита электронной почты, АВЗ.3 — проверка сетевого трафика, АВЗ.4 — «песочница». АВЗ.1 включает установку и управление средствами, периодические проверки, обновление баз и реагирование на обнаружение.
EDR-функциональность (ЗКУ)
EDR не выделен нормативными документами в отдельную обязательную категорию. Методический документ ФСТЭК от 12.04.2026 предусматривает в группе ЗКУ применение средств обнаружения и предотвращения вторжений на конечных устройствах (ЗКУ.3) и анализ событий с реагированием (ЗКУ.6), вплоть до блокирования устройства.
Сертифицированные средства
Для систем по приказу ФСТЭК № 117 (с 1 сентября 2026 года — с учётом приказа ФСТЭК № 137 от 08.05.2026) применяются сертифицированные средства с классом защиты и уровнем доверия по классу защищённости. Для ИСПДн — приказ № 21; для значимых объектов КИИ — приказ № 239 (сертификация, испытания или приёмка).
Не единый перечень для всех
Необходимость сертифицированного антивируса, СЗИ НСД или другого средства определяется отдельно для каждой системы, а не по единому перечню для всех организаций.
Материалы внедрения и отчётность могут использоваться как документы, подтверждающие выполнение применимых мер защиты. Подтверждением полного соответствия нормативным требованиям сам по себе факт установки антивируса, EDR или СЗИ НСД не является.
Порядок работы
Порядок работы, сроки, стоимость и приёмка
Бесплатная первичная оценка (до 30 минут — уточним парк устройств, действующие средства защиты и применимые требования) → предварительное определение задачи → договор и NDA → инвентаризация парка и определение применимых требований → подбор состава средств → настройка политик → пилот на ограниченной группе → развёртывание на весь парк → сопровождение.
Пилотное внедрение
Для EDR и других средств, способных активно влиять на работу конечных устройств, обычно проводим пилот на ограниченной группе перед массовым развёртыванием и включением блокирующих функций.
Объём и договор
Определяется числом и типами устройств, необходимостью сертификации и составом внедряемых классов средств. В договоре фиксируются состав работ, критерии приёмки и порядок эскалации.
Сроки
Инвентаризация и определение требований — от 1 до 2 недель; настройка и пилот — от 2 до 4 недель; развёртывание на весь парк — по согласованному графику.
Стоимость
Зависит от числа устройств, состава средств защиты, необходимости сертификации и формата сопровождения. Фиксируется до начала работ.
Почему IST
Почему IST
Настраиваем процесс реагирования на алерты, а не просто устанавливаем программу.
С 2011 года
В сфере информационной безопасности с 2011 года.
Более 80 специалистов
Офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве.
Лицензии ФСТЭК и ФСБ
Действующие лицензии на профильные виды деятельности.
Опыт на разнородных парках
Внедрение и сопровождение антивирусной защиты, EDR и СЗИ НСД на разнородных парках устройств.
Настраиваем процесс
Реагирования на алерты, а не просто устанавливаем программу.
Полный цикл
От подбора средств защиты конечных точек до передачи в проактивный мониторинг (SOC).
FAQ
Частые вопросы
Ответы на главные вопросы заказчиков.
- В чём разница между антивирусом и EDR? Антивирус в первую очередь предотвращает и обнаруживает вредоносное ПО. EDR дополнительно собирает расширенную телеметрию, помогает выявлять цепочки подозрительных действий и расследовать инцидент.
- Нужна ли нам сертифицированная СЗИ НСД? Зависит от требований, применимых к вашей системе, — типа информационной системы, уровня защищённости или категории значимости объекта КИИ. Определим на первичной оценке.
- Может ли одно решение заменить все три класса? Отдельные продукты сочетают антивирус и EDR в одном агенте. Если требования предусматривают функции СЗИ НСД, нужно отдельно проверить, закрывает ли выбранный продукт эти требования.
- Что если EDR сгенерирует слишком много алертов? Правила настраиваются по результатам пилота, а разбор алертов — у вашей команды либо передаётся в проактивный мониторинг (SOC).
- Замедлит ли работу установка нескольких средств? Возможно снижение производительности при неудачном сочетании продуктов — совместимость и нагрузку проверяем на пилоте до массового развёртывания.
Обсудить защиту конечных точек
Расскажите о парке устройств — предложим состав средств защиты
Сколько рабочих станций и серверов, какие операционные системы, какие требования применимы к вашей системе. Первичная оценка — бесплатно, до 30 минут, без подключения к инфраструктуре.