בעמוד הזה
מה זה EDR?
אנטי-וירוס קלאסי משווה קבצים לרשימה של נוזקות מוכרות. EDR (Endpoint Detection and Response) מסתכל על התנהגות: איזה תהליך רץ, מה הוא פתח, לאן הוא התחבר ואילו קבצים הוא שינה. כך הוא מזהה גם מתקפות חדשות, וגם תוקפים שמשתמשים בכלים לגיטימיים של מערכת ההפעלה.
EDR מייצר הרבה מידע והתראות, ולכן הוא עובד הכי טוב יחד עם צוות SOC שמנתח את ההתראות ומגיב להן מסביב לשעון.
דוגמה מהשטח
קובץ Word שמריץ PowerShell. עובדת פותחת קובץ מצורף שנראה כמו חשבונית. הקובץ מפעיל PowerShell שמנסה להוריד כלי שליטה מרחוק. האנטי-וירוס לא מכיר את הקובץ, אבל ה-EDR מזהה רצף התנהגות חשוד, מבודד את המחשב מהרשת ומתריע לצוות ה-SOC בתוך דקות.
אנטי-וירוס או EDR?
| אנטי-וירוס | EDR | |
|---|---|---|
| שיטת זיהוי | חתימות של נוזקות מוכרות | ניתוח התנהגות ורצף פעולות |
| תגובה | מחיקה או הסגר של קובץ | בידוד מחשב, עצירת תהליכים, חקירה |
| תיעוד | מינימלי | היסטוריה מלאה לחקירה |
רכיבים מרכזיים
איך זה עובד
- פריסה
סוכן EDR בכל המחשבים והשרתים.
- תיעוד וזיהוי
ניטור התנהגות מתמשך וזיהוי חריגות.
- תגובה
בידוד, עצירה וניקוי, אוטומטית או על ידי אנליסט.
- חקירה ולקחים
הבנת שורש האירוע וחיזוק ההגנות.
שאלות נפוצות
האם EDR מחליף אנטי-וירוס?
ברוב הפתרונות המודרניים EDR כולל גם הגנה מבוססת חתימות, ולכן הוא מחליף את האנטי-וירוס הישן ומוסיף עליו.
מה ההבדל בין EDR ל-SIEM?
EDR רואה לעומק את מה שקורה בעמדות הקצה. SIEM אוסף לוגים מכל הארגון ומצליב ביניהם. EDR הוא אחד המקורות החשובים של ה-SIEM.
האם EDR עוצר כופרה?
הוא אחד הכלים היעילים נגדה: הוא מזהה הצפנה המונית של קבצים ותנועה של תוקף ברשת, ויכול לבודד מחשבים לפני שהכופרה מתפשטת.