Definicja EDR
Endpoint Detection and Response (EDR) to klasa rozwiązań bezpieczeństwa skoncentrowana na ciągłym monitorowaniu i analizie działań na urządzeniach końcowych (endpointach), takich jak laptopy, serwery i stacje robocze. Celem EDR jest szybkie wykrywanie zagrożeń, automatyczna reakcja oraz umożliwienie szczegółowego dochodzenia powłamaniowego.
Kluczowe funkcje EDR
- Zbieranie telemetrii - rejestrowanie zdarzeń systemowych, sieciowych i aplikacyjnych w czasie rzeczywistym.
- Wykrywanie zagrożeń - wykorzystanie reguł, heurystyki i algorytmów ML do identyfikacji anomalii.
- Odpowiedź na incydenty - automatyczne lub ręczne działania, takie jak izolacja hosta, zakończenie procesu czy usunięcie pliku.
- Analiza powłamaniowa - rekonstrukcja ścieżki ataku, timeline zdarzeń i identyfikacja punktu wejścia.
- Integracja z SOC - korelacja z SIEM, XDR i Threat Intelligence (CTI).
EDR vs. tradycyjny antywirus
| Cecha | Tradycyjny AV | EDR |
|---|---|---|
| Wykrywanie zagrożeń | Sygnaturowe | Heurystyka, ML, TTPs |
| Reakcja | Automatyczne blokowanie | Blokada + analiza + izolacja |
| Widoczność | Ograniczona do plików | Pełna telemetria systemu |
| Analiza powłamaniowa | Brak | Tak, z interaktywnym timeline |
| Integracja z SOC | Zazwyczaj brak | Pełna, z korelacją w SIEM/XDR |
Architektura systemu EDR
- Agent EDR - instalowany na punkcie końcowym, rejestruje i przesyła dane.
- Serwer analityczny - analizuje zdarzenia i uruchamia reguły wykrywania.
- Konsola zarządzająca - dashboard dla analityków i administratorów SOC.
- Mechanizmy odpowiedzi - izolacja hosta, skanowanie plików, roll-back zmian.
- Integracje API - połączenie z SIEM, SOAR i Threat Intelligence.
Przykłady zastosowania
- Wczesne wykrycie ataku typu ransomware przed zaszyfrowaniem danych.
- Izolacja zainfekowanego hosta w sieci produkcyjnej.
- Dochodzenie po incydencie z wykorzystaniem pełnej historii działań użytkownika.
- Automatyzacja odpowiedzi na znane techniki z MITRE ATT&CK.
Wyzwania i ograniczenia
- Alert fatigue - nadmiar alertów wymaga zaawansowanego tuningu.
- Ograniczenia offline - agent działa, ale analiza wymaga łączności z serwerem.
- Zasobożerność - wpływ na wydajność przy niewłaściwej konfiguracji.
- Złożoność integracji - konieczność dopasowania do SIEM/SOAR i GRC.
- Potrzeba specjalistów SOC - skuteczna analiza wymaga kompetencji analitycznych.