Ochrana koncových zařízení EPP, EDR a XDR
V dnešní době lze chránit koncová zařízení těmito systémy:
- EndPoint Protection (EPP)
- EndPoint Detection and Response (EDR)
- eXtended Detection and Response (XDR)
EndPoint protection (EPP)
Předchůdce EPP jsou klasická řešení, která se soustředí primárně na škodlivý kód - Antivirová řešení s centrální správou.Cílem dnešních platforem ochrany koncových bodů (EPP) je zabránit útokům na koncové body před vektory hrozeb, jako je malware, zranitelnosti zero-day a útoky bez souborů.EPP používá k detekci útoků několik metod. Porovnává malware a další souborové hrozby pomocí databáze známých signatur hrozeb; používá blacklisty nebo whitelisty k blokování nebo povolení aplikací, URL, portů a adres; a poskytuje sandbox, kde lze bezpečně spouštět a testovat soubory podezřelé z napadení malwarem. Advanced EPP také využívá behaviorální analýzu a strojové učení k hlášení neobvyklé nebo podezřelé aktivity na koncových bodech.
EPP poskytuje softwarové agenty nasazené na koncových bodech, ale obvykle má komponentu cloudové správy, která shromažďuje a analyzuje data a umožňuje bezpečnostním analytikům k nim přistupovat z centrálního rozhraní.
Mezi klíčové vlastnosti patří:
- Signatury hrozeb – starší antivirová funkce, která detekuje hrozby tím, že je porovnává se známými signaturami malwaru.
- Statická analýza – analyzuje podezřelé binární soubory, obvykle pomocí technik strojového učení, aby odhalila škodlivé funkce.
- Podívat se na reálné statistiky a nejvíce nebezpečné útoky?Analýza chování – i při absenci známých signatur hrozeb mohou řešení EPP analyzovat chování koncových bodů a identifikovat anomální vzorce, které vyžadují prozkoumání.
- Whitelist a blacklist – blokuje nebo umožňuje přístup ke konkrétním IP adresám, URL a aplikacím.
- Sandbox – testuje škodlivé chování spuštěním souborů ve virtuálním prostředí před jeho normálním spuštěním na koncovém zařízení.
EndPoint Detection and Response (EDR)
Když EPP selže, detekce a reakce koncových bodů mohou zachytit hrozby, které překročily první linii obrany. To umožňuje týmům pro zabezpečení IT identifikovat narušení, izolovat postižené koncové body a iniciovat automatické nebo manuální akce. Tento druh bezpečnostního řešení umožňuje sledovat chování aplikací, procesů a uživatelů v reálném čase a upozornit na potenciální anomálie či nebezpečné akce.Díky tomu může tým zodpovědný za bezpečnost rychle identifikovat nové, neznámé hrozby a podniknout nezbytné kroky k jejich zastavení.
Mezi klíčové vlastnosti patří:
- Detekce hrozeb a upozornění – detekuje škodlivou aktivitu a neobvyklé procesy na koncovém bodu a upozorní bezpečnostní týmy.
- Vyšetřování incidentů – umožňuje forenzní vyšetřování centrálním shromažďováním bezpečnostních událostí a provozních dat z více koncových bodů.
- Zamezení incidentů – zabraňuje šíření běžných bezpečnostních incidentů automatickým izolováním infikovaných koncových bodů a zabráněním šíření hrozeb po síti.
- Reakce na incidenty – umožňuje bezpečnostním týmům provádět akce s odezvou na koncových bodech, jako je vymazání a opětovné zobrazení kompromitovaného koncového bodu nebo resetování hesel.
eXtended Detection and Response (XDR)
XDR řeší problém vysoce složitých síťových prostředí a obtížnost korelování a zkoumání signálů z různých bezpečnostních nástrojů.XDR vylepšuje tradiční EDR rozšířením ochrany na všechny síťové a aplikační vrstvy, včetně cloudové infrastruktury, aplikací SaaS a jakéhokoli síťového adresovatelného zdroje.
XDR využívá strojové učení ke kombinování dat z více vrstev zabezpečení a identifikaci útoků, které pokrývají více systémů v prostředí IT.Využívá pokročilé analýzy k odfiltrování šumu, který je typický pro většinu organizačních sítí, a identifikuje skutečné bezpečnostní incidenty.XDR transformuje data událostí s kontextovými informacemi, takže bezpečnostní týmy mnohem rychleji a snadněji vyšetřují incidenty.
Místo toho, aby museli stahovat a porovnávat data z více bezpečnostních nástrojů, mohou vidět všechna příslušná data na jedné centralizované konzoli.Automatizuje forenzní analýzu, integruje více signálů do jednoho obrazu, umožňuje rychlé vyšetřování a zvyšuje důvěru ohledně indikátorů kompromitace (IoC - Indicators Of Compromise).