Didžiausia grėsmė įmonės kompiuteryje gali nė neatrodyti kaip grėsmė. Darbuotojas atidaro dokumentą, prisijungia prie sistemos, atlieka įprastas užduotis – o tuo metu užpuolikas gali naudotis pavogtais prisijungimo duomenimis ar teisėtais sistemos įrankiais, kad pasiektų įmonės duomenis ir liktų nepastebėtas.
Todėl net reguliariai atnaujinama antivirusinė programa nebūtinai suteikia visą apsaugą, kurios reikia verslui. Kaip suprasti, kada jos pakanka, o kada verta rinktis daugiau galimybių turinčius EDR sprendimus? Svarbu įvertinti ne tik tai, kokias grėsmes jie geba aptikti ir sustabdyti, bet ir kaip užtikrinama jų priežiūra bei reagavimas į incidentus.
Kas yra antivirusinė programa ir kaip ji veikia?
Antivirusinė programa skirta kenkėjiškoms programoms aptikti, blokuoti ir šalinti. Ji tikrina failus, programas ir kitus objektus, ieškodama virusų bei kitų grėsmių požymių.
Vienas iš aptikimo būdų – failų palyginimas su žinomų kenkėjiškų programų požymių duomenų bazėmis. Tačiau šiuolaikinės antivirusinės programos naudoja ir kitus metodus: analizuoja failų savybes, vertina įtartiną elgseną, taiko mašininį mokymąsi. Todėl jų nereikėtų laikyti vien paprastais virusų skeneriais.
Vis dėlto net ir užblokavus kenkėjišką failą ne visada aišku, ar užpuolikas spėjo atlikti kitus veiksmus, ar buvo paveikti papildomi įrenginiai ir ar į sistemą nebuvo įsiskverbta kitu būdu.
Verslui skirta antivirusinė programa padeda sumažinti šią riziką, ypač kai įrenginiai centralizuotai valdomi, reguliariai atnaujinami ir laikomasi saugumo politikų. Tačiau organizacijoms, kurioms reikia išsamesnio matomumo ir reagavimo į incidentus, verta įvertinti ir EDR technologiją.
Kas yra EDR ir kaip jis veikia?
EDR – angliško termino Endpoint Detection and Response trumpinys, lietuviškai reiškiantis galinių įrenginių grėsmių aptikimą ir reagavimą į jas. Šis sprendimas stebi kompiuterių, serverių ir kitų galinių įrenginių veiklą, ieško įtartinų požymių ir padeda tirti galimus saugumo incidentus.
Skirtumas tas, kad EDR analizuoja ne vien tai, ar konkretus failas atpažįstamas kaip kenkėjiškas, bet ir tai, kas vyksta įrenginyje prieš įtartiną veiksmą, jo metu ir po jo.
Pavyzdžiui, darbuotojas atidaro el. paštu gautą dokumentą. Netrukus dokumentas paleidžia procesą, kuris bando vykdyti neįprastas komandas, pasiekti kitus failus ar pakeisti sistemos nustatymus. Net jei pradinė veikla nebuvo iš karto atpažinta kaip kenkėjiška, EDR analizuoja veiksmų seką ir nustato galimos atakos požymius.
Aptikęs grėsmę, sprendimas pagal savo funkcijas ir nustatymus gali blokuoti procesą, izoliuoti įrenginį nuo tinklo, surinkti incidento tyrimui reikalingus duomenis ar pateikti saugumo specialistams išsamią įvykių seką.
Šios galimybės svarbios ne vien tada, kai reikia sustabdyti ataką. Jos padeda išsiaiškinti, kaip incidentas prasidėjo, kokie įrenginiai ar procesai buvo paveikti ir kokių veiksmų reikia imtis, kad grėsmė nepasikartotų.
EDR yra svarbi endpoint security – galinių įrenginių saugumo – dalis, leidžianti ne tik aptikti grėsmes, bet ir operatyviai į jas reaguoti. Verslui skirti EDR sprendimai gali papildyti platesnę kibernetinio saugumo sistemą ir sustiprinti bendrą galinių įrenginių apsaugą (endpoint protection).
EDR ir antivirusinė: pagrindiniai skirtumai
Abiejų sprendimų tikslas – apsaugoti galinius įrenginius, tačiau jų funkcijos ir incidentų analizės galimybės skiriasi.
| Kriterijus | Antivirusinė programa | EDR |
| Pagrindinė paskirtis | Kenkėjiškų programų aptikimas ir blokavimas | Įtartinos veiklos aptikimas, analizė ir reagavimas |
| Aptikimo metodai | Žinomų grėsmių požymiai, heuristika, elgsenos analizė ir kiti metodai | Įrenginio veiklos stebėsena, įvykių koreliacija ir elgsenos analizė |
| Incidentų tyrimas | Galimybės priklauso nuo produkto, dažniausiai orientuojamasi į konkrečią grėsmę | Išsamesnė įvykių seka, susiję procesai ir incidento tyrimo duomenys |
| Reagavimas | Grėsmės blokavimas, failų karantinavimas ir kiti apsaugos veiksmai | Papildomi reagavimo veiksmai, pavyzdžiui, įrenginio izoliavimas ir proceso sustabdymas |
| Administravimas | Nuo paprasto įrenginio valdymo iki centralizuotos verslo aplinkos | Reikalinga aiški perspėjimų analizės, incidentų tyrimo ir reagavimo tvarka |
Ši lentelė apibūdina bendrus skirtumus, ne kiekvieno produkto funkcijas. Pažangios antivirusinės programos jau naudoja elgsenos analizę, o kai kurie verslo sprendimai sujungia antivirusinės ir EDR funkcijas vienoje platformoje.
Ar EDR pakeičia antivirusinę programą?
Ne visada. Atsakymas priklauso nuo pasirinkto produkto ir jo licencijos.
Kai kurie EDR sprendimai apima naujos kartos apsaugą nuo kenkėjiškų programų ir kitas antivirusines funkcijas. Tokiu atveju atskiros antivirusinės diegti nereikia. Kituose sprendimuose EDR papildo jau veikiančią apsaugą, suteikdamas daugiau galimybių stebėti įrenginių veiklą, tirti incidentus ir į juos reaguoti.
Svarbu neapsiriboti vien programų pavadinimais. Prieš diegiant naują apsaugos priemonę reikia patikrinti, kokias funkcijas jau apima turima licencija, ar sprendimai suderinami ir ar keli apsaugos įrankiai nekonfliktuos tarpusavyje.
Kokią apsaugą pasirinkti pagal įmonės situaciją?
Vienodo atsakymo visoms organizacijoms nėra. Pasirinkimas priklauso nuo tvarkomų duomenų jautrumo, IT infrastruktūros, veiklos rizikų ir žmonių, atsakingų už saugumą, kompetencijų.
Nedidelė įmonė be atskiros saugumo komandos
Jeigu įmonėje dirba keliolika ar kelios dešimtys žmonių, o IT priežiūra patikėta išoriniam tiekėjui, svarbiausia – patikima apsauga, centralizuotas valdymas ir aiški atsakomybė už perspėjimus.
Verslui skirtos antivirusinės programos gali patenkinti pagrindinius poreikius, tačiau jautrius duomenis tvarkančioms įmonėms ar organizacijoms, kurioms veiklos sutrikimas brangiai kainuotų, verta apsvarstyti ir EDR.
Jei viduje nėra specialistų, galinčių nuolat vertinti saugumo įvykius, verta iš anksto pasirūpinti ir išorine incidentų stebėsena bei reagavimo pagalba.
Įmonė, turinti IT administratorių
IT administratorius gali pasirūpinti apsaugos diegimu, atnaujinimais, nustatymais ir įprastų perspėjimų peržiūra. Tačiau kasdienė IT priežiūra ir kibernetinių incidentų tyrimas reikalauja skirtingų kompetencijų.
Jei EDR nuolat fiksuoja įtartinus veiksmus, vien įrankio įdiegimo nepakanka. Reikia laiko išanalizuoti perspėjimus, atskirti tikras grėsmes nuo klaidingų signalų ir nuspręsti, kaip reaguoti. Kai vidinis specialistas neturi tam pakankamai laiko ar patirties, verta apsvarstyti papildomą saugumo paslaugų teikėjo pagalbą.
Organizacija, turinti saugumo komandą
Didesnėms organizacijoms, kuriose veikia vidinė kibernetinio saugumo komanda, EDR suteikia išsamesnius duomenis apie galinių įrenginių veiklą ir padeda tirti sudėtingesnius incidentus.
Tokiu atveju svarbu įvertinti integraciją su kitais saugumo įrankiais, grėsmių paieškos galimybes ir tai, kaip EDR duomenys įtraukiami į bendrą incidentų valdymo procesą. Priklausomai nuo infrastruktūros, papildomą vertę suteikia ir XDR sprendimai – jie apjungia signalus iš kelių saugumo sričių.
Kas stebės EDR perspėjimus ir reaguos į incidentus?
Tai vienas svarbiausių klausimų, kurį įmonės kartais išsprendžia jau įdiegusios apsaugos sprendimą.
EDR aptinka įtartiną veiklą, tačiau kiekvieną perspėjimą reikia įvertinti. Kai kurie įvykiai būna nepavojingi, kiti reikalauja skubaus reagavimo. Jei pranešimai lieka neperžiūrėti, net pažangus sprendimas neužtikrina, kad grėsmė bus laiku sustabdyta.
Organizacija gali šią atsakomybę patikėti savo saugumo komandai arba rinktis išorinę stebėseną ir reagavimo paslaugas. Pavyzdžiui, SOC paslaugos apima saugumo įvykių stebėseną, jų analizę ir incidentų valdymą, o konkreti paslaugos apimtis priklauso nuo sutarto modelio.
Taip pat verta iš anksto susitarti, kas turi teisę izoliuoti įrenginį, blokuoti paskyrą ar atlikti kitus skubius veiksmus. Apie rimtą incidentą pranešti neužtenka – reikia aiškaus plano, kas ir kada imsis veiksmų.
Daugiau apie tai, kaip organizuojamas saugumo incidentų valdymas, verta sužinoti dar prieš susiduriant su realia grėsme.
Nuo ko priklauso antivirusinės ir EDR sprendimo kaina?
Kaina priklauso ne tik nuo įrenginių skaičiaus. Reikšmės turi pasirinkto produkto funkcijos, licencijų sąlygos, diegimo sudėtingumas, integracijos su kitomis sistemomis ir nuolatinės priežiūros poreikis.
Antivirusinės programos ir EDR kainas taip pat svarbu vertinti pagal tai, kas į jas įskaičiuota. Vienu atveju įmonė moka už apsaugos programinę įrangą, kitu – už platesnį sprendimą su centralizuotu valdymu, perspėjimų analize ir reagavimo funkcijomis.
Jei organizacija neturi vidinių saugumo specialistų, papildomų sąnaudų pareikalauja išorinė stebėsena ir reagavimas. Tačiau lyginti reikėtų ne vien licencijų kainas, o bendras apsaugos užtikrinimo sąnaudas ir galimos saugumo incidento žalos riziką.
Ką įvertinti prieš pasirenkant apsaugos sprendimą?
Prieš priimant sprendimą, patariame atsakyti į kelis konkrečius klausimus:
- Ką saugome? Įvertinkite, kokie duomenys saugomi įrenginiuose, kokios sistemos naudojamos ir kokios pasekmės lauktų sutrikus jų veiklai.
- Kokią apsaugą jau turime? Patikrinkite esamų antivirusinių programų, licencijų ir kitų saugumo įrankių funkcijas.
- Kas analizuos perspėjimus? Nuspręskite, ar tai darys vidinė komanda, ar reikalinga išorinė pagalba.
- Kaip reaguosime į incidentą? Iš anksto apibrėžkite atsakomybes, reagavimo veiksmus ir informavimo tvarką.
- Kaip sprendimas veiks mūsų aplinkoje? Įvertinkite suderinamumą, diegimo sąlygas, integracijas ir bandomojo diegimo rezultatus.
Gera galinių įrenginių apsauga prasideda ne nuo brangiausio produkto pasirinkimo, o nuo aiškaus supratimo, kokias rizikas organizacija turi valdyti. Vienai įmonei pakaks centralizuotai administruojamos antivirusinės programos, kitai reikės EDR ir nuolatinės specialistų priežiūros.
Dažniausiai užduodami klausimai
Ar įmonei pakanka „Windows“ integruotos antivirusinės?
„Microsoft Defender Antivirus“ suteikia integruotą apsaugą nuo kenkėjiškų programų. Tačiau verslo aplinkoje svarbu įvertinti ne vien antivirusines funkcijas, bet ir centralizuotą įrenginių valdymą, stebėseną bei reagavimo galimybes. Jos priklauso nuo naudojamo produkto, licencijos ir konfigūracijos.
Ar EDR ir antivirusinė gali veikti kartu?
Taip, jei sprendimai suderinami. Kai kurios EDR paslaugos ir produktai jau apima antivirusinės funkcijas, todėl papildomos programos nereikia. Prieš diegiant kelis apsaugos įrankius būtina patikrinti gamintojų reikalavimus ir jų tarpusavio sąveiką.
Kuo EDR skiriasi nuo MDR ir XDR?
EDR yra galinių įrenginių grėsmių aptikimo ir reagavimo technologija. XDR (Extended Detection and Response) apjungia saugumo signalus iš kelių sričių, pavyzdžiui, galinių įrenginių, tinklo ir debesijos.
Dar vienas dažnas klausimas – kas yra MDR (Managed Detection and Response). Tai valdoma paslauga, kurios specialistai stebi saugumo įvykius, tiria grėsmes ir padeda į jas reaguoti. Šie sprendimai atlieka skirtingus vaidmenis ir dažnai papildo vienas kitą.
Net pažangiausia apsauga negarantuoja saugumo, jei į perspėjimus niekas nereaguoja. Todėl svarbu įvertinti ne tik sprendimo galimybes, bet ir tai, kas prižiūrės apsaugą bei reaguos į incidentus.
