EDR: co to jest i czy antywirus w firmie jeszcze wystarczy?

EDR, czyli Endpoint Detection and Response, to system bezpieczeństwa, który stale obserwuje komputery i serwery, wykrywa podejrzane zachowania oraz pomaga szybko ograniczyć skutki ataku. Może na przykład zatrzymać złośliwy proces, odizolować urządzenie od sieci i zapisać historię zdarzeń potrzebną do ustalenia, co właściwie się wydarzyło.

W przeciwieństwie do klasycznego antywirusa EDR nie ogranicza się do sprawdzenia, czy konkretny plik znajduje się w bazie znanych zagrożeń. Analizuje również kontekst. Sprawdza, jaki proces został uruchomiony, przez kogo, z jakiego programu, z czym się połączył i jakie działania wykonał później.

Najprościej można to ująć tak: antywirus pilnuje wejścia, a EDR dodatkowo obserwuje, co dzieje się już wewnątrz budynku. Zakłada, że napastnik może przedostać się przez phishing, skradzione konto, niezałataną podatność albo legalne narzędzie administracyjne. Następnie pomaga wykryć jego aktywność, zanim uzyska dostęp do całej firmy. Microsoft definiuje EDR jako technologię stale monitorującą urządzenia końcowe, analizującą ich aktywność i umożliwiającą automatyczne ograniczanie wykrytych zagrożeń.

EDR: co to właściwie jest?

Skrót EDR pochodzi od angielskiego określenia Endpoint Detection and Response, czyli wykrywanie zagrożeń i reagowanie na nie na urządzeniach końcowych.

Urządzeniem końcowym, czyli endpointem, może być komputer stacjonarny pracownika, laptop używany w biurze lub zdalnie, serwer Windows lub Linux, maszyna wirtualna, a w niektórych rozwiązaniach także telefon lub inne urządzenie mobilne.

To właśnie endpointy są jednym z najczęstszych miejsc, od których rozpoczyna się dalsza część incydentu. Pracownik otwiera załącznik, uruchamia plik, podaje dane logowania na fałszywej stronie albo korzysta z nieaktualnego oprogramowania. Jeśli napastnik przejmie urządzenie, może spróbować wykraść zapisane poświadczenia, podnieść swoje uprawnienia i przejść na kolejne komputery lub serwery.

System EDR ma pomóc odpowiedzieć nie tylko na pytanie, czy na komputerze znajduje się złośliwy plik. Powinien również odpowiedzieć, czy na urządzeniu dzieje się coś, co przypomina przebieg ataku.

To istotna różnica. Nie każdy cyberatak wymaga klasycznego wirusa. Napastnicy mogą korzystać z legalnego PowerShella, narzędzi do zdalnej administracji, skradzionych kont albo poleceń dostępnych standardowo w systemie operacyjnym.

Jak działa system EDR krok po kroku?

EDR nie jest jednym skanerem uruchamianym raz dziennie. To ciągły proces obejmujący zbieranie danych, analizę, wykrywanie, reakcję i późniejsze dochodzenie.

EDR zbiera dane z urządzeń

Na chronionym komputerze lub serwerze działa agent, który rejestruje wybrane informacje o aktywności systemu. Zakres zależy od producenta i konfiguracji. Najczęściej obejmuje uruchamiane procesy, wykonywane polecenia i skrypty, zmiany w plikach i rejestrze, logowania użytkowników, połączenia sieciowe, pobierane pliki, próby modyfikacji zabezpieczeń oraz użycie kont administracyjnych.

Same dane nie są jeszcze wykryciem. Najważniejsze jest ich połączenie w spójny obraz.

EDR analizuje zachowanie

System sprawdza, czy pojedyncze zdarzenie albo ich sekwencja odbiega od normalnego sposobu pracy.

Uruchomienie PowerShella przez administratora nie musi być zagrożeniem. Podejrzanie może natomiast wyglądać sytuacja, w której dokument otwarty z poczty uruchamia PowerShell z zakodowanym poleceniem, a następnie nawiązuje połączenie z nieznanym serwerem i pobiera kolejny plik.

MITRE ATT&CK opisuje PowerShell jako narzędzie, które może być wykorzystywane przez atakujących do wykonywania kodu, pobierania dodatkowych komponentów i prowadzenia działań również bez zapisywania klasycznego pliku na dysku. W strategiach detekcji MITRE uwzględnia między innymi nietypowe procesy nadrzędne, zakodowane polecenia oraz połączenia sieciowe następujące po uruchomieniu PowerShella. 

EDR wykrywa podejrzaną sekwencję zdarzeń

Pojedyncze działanie często nie wystarcza do rozpoznania ataku. Dlatego wartościowy EDR powinien budować kontekst.

Przykładowo użytkownik może najpierw otworzyć dokument otrzymany pocztą. Dokument uruchamia interpreter poleceń, a następnie pojawia się połączenie z nietypową domeną. Proces próbuje odczytać dane uwierzytelniające, konto zaczyna łączyć się z kolejnymi urządzeniami, a na serwerach pojawiają się próby wyłączenia ochrony lub usunięcia kopii migawkowych.

Każdy z tych elementów osobno może być trudny do jednoznacznej oceny. Razem tworzą znacznie czytelniejszy obraz incydentu.

EDR generuje alert

Po wykryciu podejrzanej aktywności EDR tworzy alert lub incydent w konsoli bezpieczeństwa.

Dobry alert powinien zawierać więcej niż komunikat „wykryto zagrożenie”. Potrzebny jest kontekst wskazujący, którego urządzenia dotyczy problem, jaki użytkownik był zalogowany, od czego rozpoczął się łańcuch, jakie procesy uruchomiono, z jakimi adresami połączył się komputer i czy podobną aktywność widać na innych urządzeniach.

Trzeba jednak pamiętać o jednej rzeczy: alert nie oznacza jeszcze obsłużonego incydentu. Ktoś musi go zweryfikować, ocenić skalę problemu i zdecydować, czy potrzebne są dalsze działania.

EDR reaguje na zagrożenie

W zależności od możliwości produktu, licencji i nadanych uprawnień EDR może zatrzymać podejrzany proces, poddać plik kwarantannie, zablokować jego ponowne uruchomienie, odizolować komputer od sieci, zablokować określony wskaźnik zagrożenia albo zebrać dane do dalszej analizy.

Izolacja endpointu jest szczególnie cenna, gdy istnieje ryzyko rozprzestrzeniania się ataku. Urządzenie może zostać odcięte od pozostałej infrastruktury, zachowując jednocześnie komunikację z platformą bezpieczeństwa potrzebną do dalszego zarządzania. CISA również zaleca szybkie izolowanie systemów objętych ransomware, a w działaniach prewencyjnych wskazuje stosowanie EDR na chronionych zasobach.

EDR zachowuje historię potrzebną do dochodzenia

Po zatrzymaniu zagrożenia nadal trzeba ustalić, skąd rozpoczął się atak, kiedy doszło do pierwszego naruszenia, jakie konta zostały użyte, które urządzenia zostały dotknięte i czy napastnik uzyskał dostęp do danych.

EDR przechowuje dane telemetryczne, dzięki którym zespół bezpieczeństwa może odtworzyć przebieg incydentu. Bez takiej historii administrator często widzi jedynie skutek, na przykład zaszyfrowane pliki, ale nie potrafi określić, co działo się przez wcześniejsze godziny lub dni.

Antywirus vs EDR: jaka jest różnica?

Porównanie „antywirus kontra EDR” jest pewnym uproszczeniem. Nowoczesne pakiety bezpieczeństwa często łączą funkcje klasycznego antywirusa, NGAV, EPP i EDR w jednym produkcie.

Warto jednak rozumieć różnicę między ich podstawowymi rolami.

Antywirus nadal jest potrzebny. Jego zadaniem jest blokowanie znanych zagrożeń możliwie wcześnie i możliwie małym kosztem. EDR dokłada warstwę widoczności oraz reakcji na sytuacje, w których zagrożenie nie zostało rozpoznane na wejściu albo atakujący korzysta z legalnych narzędzi.

Microsoft opisuje EDR jako rozszerzenie ochrony wykraczające poza tradycyjne podejście antywirusowe. EDR monitoruje aktywność endpointów, analizuje dane, priorytetyzuje alerty i pomaga ograniczać zagrożenia, które przedostały się przez pierwszą linię obrony.

Czy EDR zastępuje antywirusa?

Nie należy traktować EDR i antywirusa jako dwóch całkowicie zamiennych produktów.

Współczesne platformy ochrony endpointów często zawierają antywirusa lub NGAV, kontrolę aplikacji, ochronę przed exploitami, filtrowanie ruchu, analizę zachowania, moduł EDR oraz mechanizmy automatycznej reakcji.

Dlatego właściwe pytanie brzmi nie tylko, czy firma ma antywirusa, ale jakie dokładnie funkcje ochrony, wykrywania i reakcji działają na jej urządzeniach. Sama obecność ikony tarczy obok zegara nie odpowiada na to pytanie.

Przykład: jak EDR może pomóc zatrzymać ransomware?

Wyobraźmy sobie pracownika działu księgowości, który otrzymuje wiadomość przypominającą korespondencję od kontrahenta. Otwiera załącznik opisany jako korekta faktury.

Dokument próbuje uruchomić skrypt albo interpreter poleceń. Klasyczny antywirus może nie zareagować, jeśli nie pojawił się jeszcze plik odpowiadający znanej sygnaturze. EDR widzi natomiast nietypową relację: aplikacja biurowa uruchamia PowerShell, który następnie wykonuje zakodowane polecenie.

PowerShell nawiązuje połączenie z zewnętrznym serwerem. Kolejny komponent może zostać zapisany na dysku albo uruchomiony bezpośrednio w pamięci. EDR rejestruje połączenie, proces nadrzędny, parametry uruchomienia i kolejne wykonywane działania.

Następnie napastnik próbuje zdobyć dane logowania pozwalające wejść na serwery lub użyć konta administratora. MITRE ATT&CK klasyfikuje pozyskiwanie poświadczeń z pamięci i innych struktur systemu jako osobną grupę technik, które mogą później służyć do uzyskiwania dostępu do kolejnych zasobów.

Po zdobyciu konta atakujący może próbować łączyć się z innymi komputerami, udziałami sieciowymi i serwerami. Takie przemieszczanie się pomiędzy systemami określa się jako lateral movement.

Celem nie musi być natychmiastowe szyfrowanie. Napastnik może najpierw szukać Active Directory, serwerów plików, systemu wirtualizacji i repozytorium kopii zapasowych.

EDR koreluje aktywność i podnosi alert. Jeśli polityki oraz automatyzacje są skonfigurowane prawidłowo, może zatrzymać proces i odizolować komputer od sieci.

To nie gwarantuje jednak, że cały incydent jest zakończony. Trzeba jeszcze sprawdzić, czy poświadczenia nie zostały przejęte, czy to samo konto nie zalogowało się na innych urządzeniach, czy złośliwy mechanizm nie został uruchomiony na serwerze i czy napastnik nie utworzył innej drogi dostępu.

EDR może więc zatrzymać konkretny etap ataku, ale pełna reakcja wymaga analizy całego środowiska. Więcej o ochronie przed takim scenariuszem opisaliśmy w materiale o tym, jak przygotować firmę na ransomware.

Najważniejszy wniosek: EDR nie jest magiczną tarczą. Jest systemem, który daje zespołowi IT znacznie większą szansę zauważenia ataku, zrozumienia jego przebiegu i szybkiego ograniczenia szkód.

EDR vs XDR: czym się różnią?

EDR skupia się przede wszystkim na urządzeniach końcowych. XDR, czyli Extended Detection and Response, rozszerza ten model o dane pochodzące z innych warstw infrastruktury.

Przykładowo EDR może zobaczyć, że na laptopie uruchomiono podejrzany skrypt. XDR może dodatkowo wykryć, że kilka minut wcześniej użytkownik kliknął link w podejrzanej wiadomości, a chwilę później z jego konta nastąpiło nietypowe logowanie do Microsoft 365.

Najprościej: EDR patrzy głównie na urządzenie, a XDR próbuje zobaczyć cały atak w wielu systemach jednocześnie.

Nie oznacza to jednak, że każde rozwiązanie oznaczone jako XDR ma identyczny zakres. W praktyce możliwości zależą od integracji, ekosystemu producenta i źródeł danych faktycznie podłączonych do platformy. Microsoft również opisuje XDR jako rozszerzenie zakresu EDR na inne warstwy, między innymi aplikacje chmurowe, sieć i tożsamość. 

EDR vs SIEM: dlaczego to nie jest to samo?

EDR i SIEM mogą analizować zdarzenia bezpieczeństwa, ale pełnią inne role.

EDR jest wyspecjalizowany w endpointach. Rozumie procesy, pliki, polecenia, zachowanie użytkownika i relacje między zdarzeniami na komputerach oraz serwerach. Często może też bezpośrednio zareagować, na przykład izolując urządzenie.

SIEM, czyli Security Information and Event Management, centralizuje logi i alerty z wielu systemów. Może zbierać informacje z EDR, Active Directory, Microsoft 365, firewalli, VPN, serwerów, aplikacji, systemów chmurowych i urządzeń sieciowych.

Przykładowo EDR wykrywa podejrzanego PowerShella na laptopie. SIEM może jednocześnie powiązać to zdarzenie z nietypowym logowaniem do chmury, zmianą uprawnień w katalogu użytkowników i połączeniem zablokowanym przez firewall.

EDR i SIEM nie powinny więc konkurować. EDR dostarcza szczegółowe dane i możliwość reakcji na endpointach, a SIEM pomaga korelować je z wydarzeniami w pozostałej infrastrukturze. Integracja EDR z SIEM jest jednym z typowych elementów dojrzałego środowiska bezpieczeństwa. 

EDR vs MDR: technologia czy usługa?

To jedno z najczęściej mylonych porównań.

EDR jest technologią. MDR jest usługą.

MDR oznacza Managed Detection and Response, czyli zarządzane wykrywanie i reagowanie. Dostawca MDR może korzystać z EDR, XDR, SIEM i innych narzędzi, ale najważniejszym elementem jest zespół, który monitoruje alerty, odrzuca fałszywe alarmy, analizuje podejrzane zdarzenia, eskaluje incydenty i pomaga ograniczyć zagrożenie.

Firma może więc posiadać bardzo dobry EDR i nadal nie mieć sprawnego procesu bezpieczeństwa.

Jeśli alert krytyczny pojawia się w piątek o 23:40, znaczenie ma nie tylko jakość technologii. Liczy się również to, kto otrzyma powiadomienie, w jakim czasie je zweryfikuje, czy może odizolować urządzenie i kto podejmie decyzję biznesową.

Dlatego przy wyborze ochrony warto zapytać nie tylko o licencję, ale także o czas reakcji, zakres monitoringu, godziny działania i odpowiedzialność za obsługę alertów.

Czy Microsoft Defender to EDR?

Odpowiedź brzmi: zależy, o którym produkcie Microsoft Defender mówimy.

Pod nazwą „Microsoft Defender” działa kilka różnych produktów i funkcji. Sam Microsoft Defender Antivirus, obecny w systemie Windows, nie jest tym samym co pełna, zarządzana platforma EDR.

Funkcje klasy EDR oferuje Microsoft Defender for Endpoint. Platforma służy do zapobiegania atakom, ich wykrywania, prowadzenia dochodzenia oraz reagowania na zagrożenia na urządzeniach końcowych. Microsoft wprost opisuje Defender for Endpoint jako rozwiązanie enterprise EDR.

Zakres dostępnych funkcji zależy między innymi od posiadanej licencji, sposobu dołączenia urządzeń, systemu operacyjnego, konfiguracji polityk i połączenia z pozostałymi usługami Microsoft.

Dlatego zdanie „mamy Defendera, więc mamy EDR” może być prawdziwe, częściowo prawdziwe albo całkowicie błędne.

Trzeba sprawdzić, czy urządzenia są faktycznie dołączone do platformy, czy raportują, jakie moduły są aktywne i czy ktoś obsługuje wykrycia. Microsoft udostępnia nawet osobne testy służące do weryfikacji dołączenia urządzenia oraz prawidłowego raportowania zdarzeń EDR.

Kiedy firma naprawdę potrzebuje EDR?

Nie istnieje jedna liczba komputerów, od której EDR staje się obowiązkowy.

Firma posiadająca osiem laptopów z poufnymi danymi klientów może mieć większe ryzyko niż organizacja z pięćdziesięcioma stanowiskami wykonującymi proste zadania. Decyzję należy oprzeć na ryzyku, skutkach przestoju i wartości chronionych zasobów.

EDR warto szczególnie rozważyć w firmach, które przechowują dane klientów, pacjentów lub kontrahentów, korzystają z Microsoft 365, Google Workspace albo innych usług chmurowych, posiadają serwery lub Active Directory, zatrudniają pracowników zdalnych, udostępniają VPN lub RDP i są silnie zależne od ciągłości działania systemów.

Znaczenie ma też otoczenie formalne. Potrzeba wdrożenia EDR może wynikać z wymagań klientów, regulacji branżowych, ankiety ubezpieczyciela albo wcześniejszego incydentu phishingowego czy ransomware.

Szczególnie istotny jest koszt przestoju. Jeśli brak dostępu do systemów przez jeden dzień oznacza zatrzymanie sprzedaży, produkcji, obsługi klientów lub pracy kancelarii, EDR powinien być rozpatrywany jako element ciągłości działania, a nie wyłącznie kolejna licencja IT.

Nie wiesz, czy obecna ochrona endpointów faktycznie działa? W ramach audytu bezpieczeństwa można sprawdzić, które urządzenia raportują do konsoli, jakie polityki są aktywne, czy serwery są objęte ochroną i kto rzeczywiście reaguje na alerty.

Sam EDR nie wystarczy

EDR jest ważną warstwą, ale nie rozwiązuje każdego problemu.

Nie zastąpi MFA na poczcie, VPN i kontach administracyjnych. Nie zastąpi regularnych aktualizacji, zarządzania podatnościami, bezpiecznej konfiguracji Active Directory, ograniczenia uprawnień administratorów, segmentacji sieci, testowanych kopii zapasowych, planu reagowania na incydenty ani szkoleń pracowników.

Jeżeli atakujący przejmie konto administratora i może bez przeszkód wyłączyć agenta, EDR traci dużą część wartości. Podobnie wtedy, gdy agent działa tylko na laptopach, ale nie został zainstalowany na serwerach, albo alerty trafiają na skrzynkę, której nikt nie sprawdza.

Skuteczna ochrona powinna być warstwowa i łączyć MFA, aktualizacje, ograniczone uprawnienia, EDR lub XDR, segmentację, monitoring, backup oraz procedury reagowania.

CISA w zaleceniach dotyczących ransomware łączy stosowanie EDR z innymi działaniami, takimi jak kontrola uruchamianego oprogramowania, aktualizacje, izolowanie naruszonych systemów i przygotowany proces reagowania.

Więcej o takim podejściu opisujemy w materiale dotyczącym warstwowego bezpieczeństwa IT. 

Jak wybrać system EDR dla firmy?

Cena licencji jest ważna, ale nie powinna być jedynym kryterium.

Na początku trzeba sprawdzić, czy produkt chroni wszystkie systemy wykorzystywane w firmie. Dotyczy to nie tylko komputerów z Windows, lecz także serwerów, urządzeń z macOS, systemów Linux i ewentualnie urządzeń mobilnych. Szczególnej uwagi wymagają starsze serwery oraz specjalistyczne aplikacje, na których agent może wymagać dodatkowych testów.

Kolejnym obszarem jest widoczność. Konsola powinna pozwalać szybko sprawdzić, ile urządzeń jest chronionych, które przestały raportować, kiedy ostatnio nawiązały połączenie i czy działają na nich właściwe polityki. Nie wystarczy lista urządzeń dodanych pół roku wcześniej. Potrzebny jest aktualny obraz pokrycia.

Ważna jest także ochrona przed manipulacją. Napastnicy próbują wyłączać zabezpieczenia, usuwać agenty i dodawać wyjątki. Dlatego trzeba sprawdzić, czy agent ma ochronę przed odinstalowaniem, kto może zmieniać polityki, czy zmiany są rejestrowane i czy wyłączenie ochrony generuje alert.

EDR powinien również zapewniać praktyczne działania reakcyjne. W zależności od produktu może to oznaczać izolację urządzenia, zatrzymanie procesu, kwarantannę pliku, blokadę wskaźnika zagrożenia, zdalne zebranie danych albo uruchomienie automatycznego dochodzenia.

Istotna jest również retencja danych. Jeśli szczegółowa telemetria jest przechowywana bardzo krótko, analiza starszego incydentu może być utrudniona. Przed wyborem rozwiązania warto ustalić, jak długo dostępna jest historia, jakie dane są przechowywane i czy dłuższa retencja wymaga dodatkowej licencji.

EDR powinien też pasować do istniejącego środowiska. Znaczenie mogą mieć integracje z Microsoft 365, Google Workspace, Active Directory, Entra ID, SIEM, firewallem, systemem obsługi zgłoszeń i platformą zarządzania urządzeniami.

Najważniejsze pytanie nie brzmi jednak: jaki EDR kupujemy? Ważniejsze jest ustalenie, kto będzie obsługiwał go po wdrożeniu. Trzeba określić, kto monitoruje alerty, w jakich godzinach, jaki jest czas reakcji, kto może odizolować urządzenie i co dzieje się w nocy oraz w weekend.

Najczęstsze błędy przy wdrożeniu EDR

Jednym z najpoważniejszych błędów jest objęcie ochroną laptopów, ale pominięcie serwerów. To właśnie serwery plików, Active Directory, systemy biznesowe, wirtualizacja i repozytoria backupu mogą być najcenniejszym celem napastnika.

Częstym problemem jest również sytuacja, w której agent został zainstalowany, ale od kilku tygodni nie raportuje. Urządzenie widnieje w inwentaryzacji, więc formalnie EDR „jest”, jednak faktycznie nie zapewnia ochrony.

Kolejnym błędem jest brak zabezpieczenia przed manipulacją. Jeśli przejęte konto administratora pozwala łatwo usunąć agenta lub wyłączyć ochronę, napastnik może przygotować środowisko przed rozpoczęciem szyfrowania.

Niebezpieczne jest również pozostawienie domyślnych polityk bez sprawdzenia, czy odpowiadają one realnemu środowisku. Domyślne ustawienia nie uwzględniają aplikacji biznesowych, serwerów, kont uprzywilejowanych ani tolerancji ryzyka konkretnej organizacji.

Problemem mogą być także zbyt szerokie wyjątki. Wyłączenie całego katalogu, procesu lub grupy plików tylko po to, żeby jedna aplikacja przestała generować alerty, może stworzyć wygodną drogę dla atakującego.

Nawet poprawnie skonfigurowany EDR nie spełni swojej roli, jeśli nikt nie ma obowiązku reagowania. Alerty mogą być widoczne w konsoli, ale administrator zagląda do niej dopiero wtedy, gdy użytkownicy zgłaszają problemy.

Wiele firm nigdy nie testuje również izolacji urządzenia. Funkcja istnieje w dokumentacji, lecz zespół nie wie, jak jej użyć, jakie ma skutki i czy podczas izolacji urządzenie zachowuje komunikację z konsolą.

Ostatnim częstym błędem jest traktowanie EDR jako zamiennika backupu. EDR może pomóc zatrzymać ransomware, ale nie daje stuprocentowej gwarancji. Kopie zapasowe pozostają niezbędne do odtworzenia systemów po ataku, awarii, błędzie administratora lub uszkodzeniu sprzętu.

Najważniejsza kontrola: nie pytaj tylko, czy EDR został kupiony. Sprawdź, jaki procent urządzeń rzeczywiście raportuje, czy chronione są również serwery, kto analizuje alerty i kiedy ostatnio testowano reakcję na incydent.

EDR, NIS2 i cyberubezpieczenie

Dyrektywa NIS2 nie mówi, że każda organizacja musi kupić konkretny produkt EDR. Wymaga natomiast podejścia opartego na ryzyku i wdrożenia odpowiednich środków technicznych, operacyjnych oraz organizacyjnych.

Obejmuje to między innymi analizę ryzyka, polityki bezpieczeństwa, obsługę incydentów, ciągłość działania, zarządzanie backupem, bezpieczeństwo łańcucha dostaw, zarządzanie podatnościami, ocenę skuteczności zabezpieczeń, kontrolę dostępu i szkolenia pracowników.

EDR może wspierać część tych obowiązków, zwłaszcza wykrywanie, reagowanie, dokumentowanie incydentu i ocenę stanu urządzeń. Samo posiadanie EDR nie oznacza jednak zgodności z NIS2. Potrzebne są również procedury, odpowiedzialność, ciągłość działania, kontrola dostawców i dowody, że zabezpieczenia są utrzymywane.

Szczegółowe informacje o zakresie obowiązków opisujemy w osobnym materiale dotyczącym NIS2 i ustawy o Krajowym Systemie Cyberbezpieczeństwa. (dataone.pl)

Podobny mechanizm pojawia się przy ubezpieczeniach cyber. W ocenie ryzyka mogą być brane pod uwagę nie tylko deklaracje, ale rzeczywisty stan zabezpieczeń, w tym MFA, ochrona endpointów, testowane backupy, aktualizacje oraz plan reagowania.

Dlatego EDR powinien być wdrożony nie pod ankietę, lecz jako stale utrzymywany proces ochrony. Więcej o tym piszemy w materiale dotyczącym wymagań cyberubezpieczenia dla firm.

EDR ma sens tylko wtedy, gdy prowadzi do reakcji

EDR daje widoczność, której nie zapewnia tradycyjny antywirus. Pomaga rozpoznawać podejrzane zachowania, łączyć zdarzenia w historię ataku i szybko ograniczać zagrożenie na komputerach oraz serwerach.

Nie wystarczy jednak kupić licencję i zainstalować agenta.

Skuteczne wdrożenie wymaga objęcia ochroną wszystkich właściwych urządzeń, zabezpieczenia agenta przed wyłączeniem, dostosowania polityk, regularnego sprawdzania stanu raportowania, monitorowania alertów, ustalenia odpowiedzialności i testowania działań reakcyjnych.

Najlepszy EDR nie rozwiąże incydentu, jeśli nikt nie zobaczy alertu albo nie będzie wiedział, co z nim zrobić.

Dataone może sprawdzić nie tylko samą obecność EDR, ale całe środowisko: komputery, serwery, Microsoft 365, konta administracyjne, backup, sieć, monitoring i procedury reagowania. Efektem audytu powinien być nie kolejny raport do segregatora, lecz lista konkretnych luk oraz kolejność ich zamykania.

Chcesz sprawdzić, czy ochrona endpointów w Twojej firmie naprawdę działa? Umów audyt bezpieczeństwa IT.