NSS Labs: Porównanie produktów klasy EDR do ochrony stacji roboczych

NSS Labs opublikowało porównanie produktów klasy EDR (Endpoint Detection and Response). Te systemy bezpieczeństwa wykraczają dalece poza możliwości tradycyjnych antywirusów, a ich głównym zadaniem jest ułatwienie zespołom ds. bezpieczeństwa podejmowanie decyzji na podstawie rejestrowanych wskaźników zagrożeń (IoC), w tym zarządzenie dużą ilością danych oraz priorytetyzowaniu działań.

EDR umożliwia w czasie rzeczywistym na zarządzanie incydentami oraz wyszukiwanie śladów włamań i ataków na każdym punkcie końcowym. Rozwiązania ochronne wyposażone w te moduły pozwalają uniknąć dodatkowych wydatków na bezpieczeństwo i w przeciwieństwie do usług zarządzanych w modelu MSP, produkty EDR wymagają wykwalifikowanej kadry do obsługiwania incydentów.

Internet jest tylko łącznikiem, wektorem przenoszącym ładunek z punktu A do punktu B, a sposobów na wtargnięcie do organizacji jest bez liku. Warto wspomnieć chociażby o ułomności systemu operacyjnego Windows, gdzie obejść politykę restrykcji PowerShell można na 50 różnych sposobów. Mając taką wiedzę i dostępność do sieci można zrobić w zasadzie wszystko, a bez odpowiedniej ochrony uzyskanie przez atakującego uprawnień administratora domeny jest tylko kwestią czasu.

Bezpieczeństwo jest niekończącym się procesem, dlatego nie podlega sztywnym zasadom zainstalowania ochrony, a następnie czekania aż coś się wydarzy. Rozwiązania zabezpieczające bardzo mocno zmieniły się na przestrzeni lat, dlatego obecnie producenci oferują klientom bardzo dobre produkty, które potrafią monitorować praktycznie każdy element infrastruktury. Wdrożone rozwiązanie EDR w dedykowanych centrach bezpieczeństwa pozwala monitorować sieć 24 godziny na dobę.