Jeszcze kilka lat temu pytanie o zabezpieczenie komputerów firmowych często sprowadzało się do wyboru programu antywirusowego. Dzisiaj w ofertach producentów coraz częściej pojawiają się pojęcia EDR, XDR, MDR, SOC, NGAV czy Endpoint Protection Platform.

Dla osoby niezajmującej się na co dzień cyberbezpieczeństwem różnice mogą być mało czytelne. Wszystkie te rozwiązania deklarują przecież ochronę przed ransomware, złośliwym oprogramowaniem i innymi cyberatakami.

W rzeczywistości klasyczny antywirus, EDR i XDR odpowiadają jednak na inne etapy i skalę problemu.

W największym uproszczeniu można powiedzieć:

Antywirus próbuje zapobiec uruchomieniu zagrożenia.

EDR obserwuje zachowanie urządzenia, pomaga wykryć zaawansowany atak i daje narzędzia do reakcji.

XDR łączy informacje z wielu obszarów środowiska – np. komputerów, poczty, tożsamości i chmury – aby wykrywać cały przebieg ataku, a nie tylko pojedyncze zdarzenie na jednym urządzeniu.

Granice pomiędzy tymi kategoriami nie są obecnie całkowicie ostre. Współczesne platformy endpoint security często łączą antywirusa nowej generacji z EDR, ochroną przed ransomware, kontrolą powierzchni ataku i dodatkowymi mechanizmami. Microsoft Defender for Endpoint jest przykładem platformy łączącej prewencję, EDR, zarządzanie podatnościami i automatyczne działania związane z wykrywaniem oraz reagowaniem.

Najważniejsze pytanie nie powinno więc brzmieć:

„Czy kupić antywirusa czy EDR?”

lecz:

„Jaki poziom wykrywania, reakcji i monitorowania jest potrzebny naszej organizacji?”

Antywirus – pierwsza warstwa ochrony urządzenia

Klasyczny program antywirusowy jest rozwiązaniem skoncentrowanym przede wszystkim na zapobieganiu infekcji i wykrywaniu złośliwego oprogramowania na urządzeniu końcowym.

NIST opisuje endpointowe systemy wykrywania malware, tradycyjnie określane jako oprogramowanie antywirusowe, jako rozwiązania służące do zapobiegania, wykrywania i usuwania złośliwego oprogramowania.

Współczesne produkty antywirusowe są oczywiście bardziej zaawansowane niż programy sprzed kilkunastu lat.

Oprócz klasycznych sygnatur mogą wykorzystywać m.in.:

• analizę heurystyczną,
• analizę zachowania,
• reputację plików,
• ochronę przed exploitami,
• analizę w chmurze,
• ochronę stron internetowych,
• mechanizmy przeciwdziałające ransomware.

Dlatego określenie „antywirus” nie oznacza dziś automatycznie prostego programu, który porównuje plik z bazą znanych wirusów.

Czym jest EPP?

Przy porównywaniu produktów można spotkać również skrót EPP – Endpoint Protection Platform.

NIST definiuje EPP jako zestaw zabezpieczeń programowych chroniących urządzenia końcowe – np. stacje robocze i laptopy – obejmujący m.in. antywirus, antispyware, firewall czy mechanizmy wykrywania i zapobiegania włamaniom na urządzeniu.

W praktyce nowoczesny produkt określany potocznie jako „antywirus firmowy” bardzo często jest już właśnie platformą EPP.

Dlatego podczas porównywania rozwiązań lepiej analizować rzeczywiste funkcjonalności, a nie wyłącznie nazwę produktu.

Przed czym dobrze chroni antywirus?

Dobre rozwiązanie endpoint protection powinno radzić sobie przede wszystkim z zagrożeniami występującymi bezpośrednio na urządzeniu, takimi jak:

• znane rodziny malware,
• trojany,
• część ransomware,
• złośliwe skrypty,
• podejrzane pliki,
• niektóre exploity,
• potencjalnie niebezpieczne aplikacje.

To niezwykle istotna warstwa ochrony.

Problem polega na tym, że nowoczesny atak nie zawsze wygląda jak uruchomienie jednego zainfekowanego pliku.

Dlaczego sam antywirus może nie wystarczyć?

Wyobraźmy sobie scenariusz:

Pracownik otrzymuje wiadomość phishingową i podaje swoje dane logowania.

Atakujący uzyskuje dostęp do konta.

Następnie wykorzystuje legalne narzędzia dostępne w systemie, uruchamia PowerShell, zdobywa kolejne uprawnienia, nawiązuje połączenie z innymi urządzeniami i próbuje dotrzeć do serwera.

Nie musi istnieć jeden charakterystyczny plik:

virus.exe

który klasyczny antywirus może łatwo zidentyfikować.

Poszczególne czynności mogą wyglądać z osobna stosunkowo niewinnie. Dopiero ich kolejność, kontekst i korelacja pokazują, że mamy do czynienia z atakiem.

I właśnie tutaj pojawia się EDR.

Co to jest EDR?

EDR oznacza:

Endpoint Detection and Response

czyli wykrywanie zagrożeń i reagowanie na nie na urządzeniach końcowych.

NIST posiada osobną definicję EDR jako klasy rozwiązań bezpieczeństwa endpointów, natomiast Microsoft opisuje funkcje EDR jako zapewniające zaawansowane, bliskie czasu rzeczywistego detekcje ataków oraz informacje pozwalające analitykom badać skalę naruszenia i wykonywać działania naprawcze.

To bardzo ważna różnica.

Antywirus koncentruje się przede wszystkim na pytaniu:

Czy to, co właśnie dzieje się na komputerze, powinno zostać zablokowane?

EDR dodaje pytania:

Co wydarzyło się przed chwilą?

Jakie procesy zostały uruchomione?

Które konto uczestniczyło w zdarzeniu?

Z jakimi hostami komunikowało się urządzenie?

Czy podobne zachowanie wystąpiło na innych komputerach?

Co administrator powinien zrobić w odpowiedzi?

Jak działa EDR?

Na urządzeniach znajdują się komponenty zbierające telemetrię dotyczącą działania systemu.

W zależności od konkretnego rozwiązania analizowane mogą być m.in.:

• uruchamiane procesy,
• tworzone pliki,
• połączenia sieciowe,
• logowania,
• zmiany konfiguracji,
• aktywność skryptów,
• zachowanie aplikacji,
• inne zdarzenia związane z bezpieczeństwem.

Dane są następnie analizowane pod kątem zachowań wskazujących na potencjalny atak.

CISA wskazuje EDR jako jedno z narzędzi pomagających bronić organizacji przed malware i ransomware; rozwiązania tego typu zapewniają telemetrię oraz możliwość analizowania przebiegu ataku i jego przyczyn.

Przykład różnicy między antywirusem a EDR

Załóżmy, że użytkownik uruchamia legalny PowerShell.

Dla antywirusa:

PowerShell jest legalnym komponentem Windows.

Nie ma więc automatycznego powodu, aby go blokować.

Ale następnie PowerShell:

1. uruchamia nietypowe polecenie,
2. pobiera kod z internetu,
3. próbuje uzyskać dostęp do poświadczeń,
4. uruchamia kolejne procesy,
5. komunikuje się z zewnętrznym serwerem.

EDR może analizować cały łańcuch zachowań, zamiast patrzeć wyłącznie na pojedynczy program.

To pomaga wykrywać m.in. ataki wykorzystujące legalne narzędzia systemowe, techniki typu living-off-the-land czy wieloetapowe działania napastnika.

Co administrator może zrobić dzięki EDR?

To zależy od produktu, ale typowe możliwości obejmują:

• analizę alertu,
• sprawdzenie drzewa procesów,
• ustalenie źródła zdarzenia,
• wyszukiwanie podobnych zdarzeń na innych urządzeniach,
• izolację komputera od sieci,
• zakończenie procesu,
• usunięcie lub poddanie kwarantannie pliku,
• uruchomienie skanowania,
• zebranie danych do dalszej analizy,
• wykonywanie działań naprawczych.

Microsoft opisuje EDR w Defender for Endpoint jako połączenie detekcji, widoczności całego zakresu naruszenia oraz działań umożliwiających analitykom reakcję na zagrożenie.

Izolacja urządzenia

To jedna z najbardziej wartościowych funkcji podczas poważnego incydentu.

Jeżeli laptop został przejęty, administrator może potrzebować szybko ograniczyć jego komunikację z innymi elementami infrastruktury.

Zamiast:

„proszę odłączyć kabel sieciowy i wyłączyć Wi-Fi”

administrator może – jeśli produkt i konfiguracja to umożliwiają – wykonać zdalną akcję izolacji urządzenia.

W praktyce skraca to czas reakcji i ogranicza możliwość dalszego przemieszczania się atakującego po środowisku.

Antywirus a EDR – najważniejsza różnica

Można zastosować prostą analogię.

Antywirus jest jak ochrona przy wejściu do budynku.

Sprawdza, czy osoba próbująca wejść nie wygląda na znane zagrożenie.

EDR przypomina dodatkowo system monitoringu wewnątrz budynku.

Jeżeli ktoś przedostanie się przez wejście lub wykorzysta legalną przepustkę, można obserwować:

• gdzie się porusza,
• jakie drzwi otwiera,
• jakie działania wykonuje,
• czy zachowuje się nietypowo.

A kiedy zachowanie zostanie uznane za niebezpieczne, ochrona może zareagować.

To oczywiście uproszczenie, ale dobrze pokazuje różnicę między prewencją a detekcją i reakcją po rozpoczęciu ataku.

Czy EDR zastępuje antywirusa?

Zazwyczaj nie należy traktować tego jako wyboru:

antywirus albo EDR.

Współczesne platformy endpoint security bardzo często oferują oba mechanizmy jako element jednego rozwiązania.

Przykładowo Microsoft Defender for Endpoint łączy ochronę nowej generacji, EDR, redukcję powierzchni ataku, zarządzanie podatnościami oraz możliwości automatycznej reakcji.

Dlatego właściwszy model wygląda następująco:

prewencja + wykrywanie + reakcja

zamiast:

antywirus vs EDR.

Co to jest XDR?

Kolejnym poziomem jest:

Extended Detection and Response – XDR.

Kluczowe jest tutaj słowo Extended, czyli rozszerzone.

EDR koncentruje się przede wszystkim na endpointach.

XDR rozszerza analizę na więcej elementów infrastruktury.

Microsoft definiuje XDR jako podejście zapewniające zespołom bezpieczeństwa szerszą widoczność, analitykę i automatyzację potrzebną do szybszego reagowania na cyberzagrożenia.

W przypadku Microsoft Defender XDR ochrona i korelacja mogą obejmować m.in.:

• urządzenia,
• tożsamości,
• pocztę,
• aplikacje,
• usługi Microsoft 365,
• aplikacje SaaS.

Microsoft opisuje Defender XDR jako skoordynowane rozwiązanie łączące wykrywanie, zapobieganie, dochodzenie i reakcję oraz korelujące sygnały pochodzące z różnych elementów środowiska.

Dlaczego sama analiza endpointu może nie wystarczyć?

Wyobraźmy sobie pełny scenariusz ataku.

Etap 1 – phishing

Pracownik otrzymuje wiadomość.

Etap 2 – kradzież danych logowania

Użytkownik podaje login i hasło na fałszywej stronie.

Etap 3 – przejęcie tożsamości

Atakujący loguje się do środowiska chmurowego.

Etap 4 – dostęp do poczty

Przestępca analizuje wiadomości i kontakty.

Etap 5 – dalszy atak

Wysyła wiadomości phishingowe do innych pracowników.

Etap 6 – przejęcie urządzenia

Na jednym z komputerów dochodzi do wykonania złośliwego kodu.

Jeżeli patrzymy wyłącznie na endpoint, widzimy przede wszystkim etap 6.

Jeżeli patrzymy wyłącznie na pocztę, możemy zauważyć etap 1 i 5.

Jeżeli analizujemy tylko system tożsamości, zauważymy podejrzane logowanie.

XDR ma za zadanie połączyć te sygnały w jeden kontekst incydentu.

Zamiast kilku oderwanych alertów:

nietypowe logowanie,

phishing,

podejrzany proces,

połączenie sieciowe,

analityk może otrzymać szerszy obraz jednego ataku.

EDR a XDR – czym się różnią?

Najprościej:

Najważniejsza różnica nie polega więc na tym, że XDR jest po prostu:

„lepszym EDR-em”.

To szerszy sposób analizowania zagrożenia.

Przykład EDR i XDR w praktyce

Załóżmy, że pracownik kliknął phishing.

Antywirus

Może zablokować złośliwy plik, jeżeli taki zostanie pobrany i rozpoznany.

EDR

Może zauważyć, że:

• Word uruchomił nietypowy proces,
• PowerShell wykonał podejrzane polecenie,
• komputer połączył się z niebezpiecznym adresem,
• następnie pojawiły się próby dalszych działań.

Administrator może przeanalizować zdarzenie i odizolować komputer.

XDR

Może dodatkowo połączyć informacje o:

• wiadomości phishingowej,
• klikniętym adresie,
• ryzykownym logowaniu użytkownika,
• aktywności konta,
• procesach na komputerze,
• potencjalnych działaniach na innych urządzeniach.

Zespół bezpieczeństwa uzyskuje więc bardziej kompletny łańcuch ataku.

Czy każda firma potrzebuje XDR?

Nie.

I to bardzo ważne.

Zakup najbardziej rozbudowanej technologii nie oznacza automatycznie najlepszego bezpieczeństwa.

Rozwiązanie musi być proporcjonalne do:

• wielkości organizacji,
• rodzaju danych,
• ryzyka,
• infrastruktury,
• posiadanych kompetencji,
• możliwości monitorowania alertów.

Mała firma posiadająca 10 komputerów nie zawsze potrzebuje rozbudowanej platformy XDR.

Jednocześnie firma zatrudniająca 150 osób, posiadająca Microsoft 365, serwery, pracowników zdalnych i dane wrażliwe może mieć zdecydowanie większe korzyści z korelowania sygnałów z wielu źródeł.

Kiedy klasyczny antywirus może wystarczyć?

Dobre rozwiązanie endpoint protection może być wystarczającą podstawową warstwą dla organizacji o:

• niewielkiej liczbie urządzeń,
• prostym środowisku,
• niewielkiej ekspozycji,
• ograniczonej ilości krytycznych danych,
• dodatkowych zabezpieczeniach znajdujących się w innych warstwach.

Nie oznacza to jednak, że sama instalacja antywirusa kończy temat cyberbezpieczeństwa.

Nadal potrzebne są m.in.:

• aktualizacje,
• MFA,
• backup,
• zabezpieczenie poczty,
• kontrola uprawnień,
• szkolenie użytkowników,
• firewall,
• odpowiednia konfiguracja środowiska.

Antywirus jest jedną warstwą, a nie kompletną strategią bezpieczeństwa.

Kiedy warto wdrożyć EDR?

EDR warto poważnie rozważyć, kiedy:

Firma posiada ważne dane

Ich utrata lub zaszyfrowanie może mieć istotny wpływ na działalność.

Organizacja chce reagować na incydenty

Nie wystarczy informacja:

„wykryto zagrożenie”.

Administrator potrzebuje możliwości sprawdzenia:

co dokładnie się wydarzyło?

Firma obawia się ransomware

CISA w swoim przewodniku dotyczącym ransomware wskazuje EDR jako jedno z narzędzi, które organizacje powinny rozważać do ochrony zasobów i wykrywania nieautoryzowanej aktywności.

Pracownicy korzystają z laptopów poza biurem

Tradycyjna ochrona samego brzegu sieci traci wtedy znaczenie.

Urządzenie może pracować:

• w domu,
• hotelu,
• u klienta,
• w sieci komórkowej.

Monitoring endpointu pozostaje aktywny niezależnie od tego, gdzie znajduje się komputer – zależnie oczywiście od możliwości konkretnego rozwiązania i dostępu do jego usług chmurowych.

Firma posiada administratora lub zewnętrzne wsparcie IT

EDR daje administratorowi znacznie większe możliwości diagnostyczne niż prosty antywirus.

Kiedy warto rozważyć XDR?

XDR nabiera szczególnego znaczenia, kiedy środowisko jest bardziej złożone.

Na przykład organizacja posiada:

• Microsoft 365 lub inne środowisko chmurowe,
• kilkadziesiąt lub kilkaset urządzeń,
• wielu użytkowników,
• aplikacje SaaS,
• rozwiązania tożsamościowe,
• system pocztowy,
• urządzenia pracujące poza firmową siecią.

Wtedy atak może przebiegać przez kilka obszarów jednocześnie.

Jeżeli organizacja analizuje je niezależnie, zespół może otrzymać kilkanaście osobnych alertów.

XDR ma pomóc zrozumieć, że są one elementami jednego incydentu. Microsoft Defender XDR realizuje ten model poprzez korelowanie ochrony urządzeń, tożsamości, poczty, aplikacji i innych zasobów w ramach wspólnej warstwy detekcji i reakcji.

Największy problem EDR i XDR: ktoś musi analizować alerty

To jeden z najważniejszych aspektów, o którym firmy często dowiadują się dopiero po zakupie rozwiązania.

Firma wdraża EDR.

Na ekranie pojawiają się alerty.

I co dalej?

Ktoś musi:

• sprawdzić zdarzenie,
• określić jego priorytet,
• odróżnić false positive od prawdziwego ataku,
• przeanalizować zależności,
• zdecydować o izolacji urządzenia,
• przeprowadzić działania naprawcze.

CISA opisała przypadek incydentu, w którym alerty EDR nie były stale analizowane, a brak odpowiedniego monitorowania przyczynił się do opóźnienia wykrycia aktywności atakującego.

To pokazuje bardzo ważną zasadę:

EDR bez procesu obsługi alertów nie daje pełnej wartości EDR.

To samo dotyczy XDR.

Jeszcze bardziej zaawansowane narzędzie generujące więcej informacji nie rozwiąże problemu, jeżeli organizacja nie ma osoby lub zespołu odpowiedzialnego za reakcję.

EDR a SOC – jaka jest różnica?

Te pojęcia również bywają mylone.

EDR jest technologią.

SOC – Security Operations Center – jest funkcją lub zespołem odpowiedzialnym za monitorowanie bezpieczeństwa, analizę zagrożeń i reagowanie na incydenty.

SOC może korzystać z:

• EDR,
• XDR,
• SIEM,
• Threat Intelligence,
• innych systemów bezpieczeństwa.

CISA opisuje model SOC as a Service jako usługę obejmującą m.in. całodobowy monitoring zagrożeń, detekcję, reagowanie na incydenty i analizę threat intelligence.

Dlatego zakup EDR nie jest tym samym co:

„mamy SOC”.

Co to jest MDR?

Można spotkać również określenie:

Managed Detection and Response – MDR.

W dużym uproszczeniu jest to model, w którym organizacja nie tylko kupuje technologię, ale korzysta także z zewnętrznego zespołu pomagającego monitorować alerty, analizować zagrożenia i reagować na incydenty.

Dlatego firma może mieć:

EDR + własny administrator

albo:

EDR + zewnętrzny MDR/SOC

albo bardziej rozbudowane:

XDR + SOC

Nie są to wzajemnie wykluczające się rozwiązania.

Antywirus, EDR czy XDR – co wybrać?

Możemy spojrzeć na to w sposób praktyczny.

Mała firma – kilka lub kilkanaście komputerów

Minimum powinno obejmować dobre, centralnie zarządzane rozwiązanie endpoint protection.

Ważniejsze od samego napisu „EDR” na licencji będzie jednak to, czy firma posiada:

• centralne zarządzanie,
• aktualizacje,
• monitoring zagrożeń,
• MFA,
• zabezpieczoną pocztę,
• backup,
• odpowiednie uprawnienia.

Jeżeli organizacja posiada istotne dane lub jest narażona na większe ryzyko, EDR warto rozważyć również przy niewielkiej liczbie urządzeń.

Firma 20–100 użytkowników

W tym zakresie EDR staje się już bardzo rozsądnym standardem do rozważenia.

Organizacja posiada zazwyczaj:

• większą liczbę laptopów,
• więcej użytkowników,
• Microsoft 365 lub Google Workspace,
• dane biznesowe,
• systemy ERP/CRM,
• pracę zdalną.

Możliwość centralnego analizowania incydentów i izolowania zagrożonego urządzenia może mieć dużą wartość.

Firma 100–300 użytkowników

Tu coraz większego znaczenia nabiera już nie samo pytanie:

„czy mamy EDR?”

ale:

„kto go monitoruje i jak korelujemy informacje z pozostałymi systemami?”

W zależności od profilu ryzyka warto rozważyć:

• EDR,
• XDR,
• SIEM,
• SOC/MDR,
• monitoring tożsamości,
• monitoring poczty i chmury.

Nie dlatego, że organizacja przekroczyła magiczną liczbę 100 komputerów.

Po prostu wraz ze skalą wzrasta liczba zdarzeń, urządzeń, użytkowników i potencjalnych ścieżek ataku.

Liczba pracowników nie powinna być jedynym kryterium

Firma zatrudniająca 20 osób może potrzebować znacznie bardziej zaawansowanej ochrony niż przedsiębiorstwo zatrudniające 100 pracowników.

Przykładowo niewielka organizacja może:

• przetwarzać dane medyczne,
• posiadać własność intelektualną,
• obsługiwać duże przepływy finansowe,
• mieć dostęp do infrastruktury klientów,
• podlegać wymaganiom regulacyjnym.

Dlatego przy doborze ochrony ważniejsze są:

ryzyko + dane + infrastruktura + skutki incydentu

niż sama liczba komputerów.

Na co zwrócić uwagę przy wyborze EDR?

Nie porównywałbym produktów wyłącznie na podstawie marketingowej listy:

ransomware – TAK
AI – TAK
EDR – TAK
Zero Trust – TAK.

Znacznie ważniejsze są pytania praktyczne.

Czy rozwiązanie pozwala izolować urządzenie?

W przypadku aktywnego incydentu czas może być kluczowy.

Czy pokazuje pełny kontekst zdarzenia?

Administrator powinien być w stanie zrozumieć:

• co uruchomiło proces,
• co wydarzyło się później,
• z jakimi zasobami komunikował się komputer.

Czy możliwe jest wyszukiwanie zagrożeń?

Zaawansowane rozwiązania umożliwiają threat hunting, czyli aktywne poszukiwanie podejrzanych zachowań w telemetrii.

Jak długo przechowywane są dane?

Ma to znaczenie, jeśli incydent został wykryty kilka dni lub tygodni po rozpoczęciu ataku.

Jak wygląda automatyczna reakcja?

Niektóre systemy potrafią automatycznie analizować i ograniczać część zagrożeń.

Jak rozwiązanie integruje się z pozostałym środowiskiem?

Szczególnie istotne, jeśli firma posiada:

• SIEM,
• SOC,
• Microsoft 365,
• system IAM,
• ticketing,
• inne narzędzia bezpieczeństwa.

A co z ransomware?

Ransomware jest dobrym przykładem, dlaczego potrzebna jest wielowarstwowa ochrona.

Nie należy myśleć:

„mamy EDR, więc ransomware nie jest już problemem”.

NIST w aktualnym podejściu do zarządzania ryzykiem ransomware podkreśla potrzebę wykrywania i zatrzymywania infekcji za pomocą rozwiązań endpoint security, ale jest to jeden z wielu elementów ochrony.

Organizacja nadal potrzebuje m.in.:

• aktualizacji,
• ograniczania podatności,
• bezpiecznych kont administratorów,
• segmentacji,
• backupu,
• kontroli dostępu,
• MFA,
• planu reagowania.

EDR może znacząco zwiększyć zdolność wykrycia i zatrzymania ataku.

Nie zastąpi jednak dobrze zaprojektowanej infrastruktury bezpieczeństwa.

Czy EDR zapobiega wszystkim atakom?

Nie.

Żadne pojedyncze narzędzie nie zapewnia stuprocentowej ochrony.

EDR może:

• zapobiegać części zagrożeń,
• wykrywać podejrzane zachowanie,
• pomagać w analizie,
• dostarczać telemetrię,
• umożliwiać reakcję.

Ale nadal istnieją zagrożenia dotyczące np.:

• tożsamości,
• aplikacji chmurowych,
• poczty,
• błędów konfiguracji,
• podatności,
• urządzeń nieobjętych ochroną.

Właśnie z tego powodu powstał m.in. model XDR – aby rozszerzyć widoczność poza sam endpoint.

Czy firma powinna wymienić obecny antywirus na EDR?

Nie zawsze koniecznie oznacza to wymianę produktu.

Najpierw warto sprawdzić, co organizacja faktycznie już posiada.

Wiele platform endpoint security jest sprzedawanych w kilku poziomach licencji.

Firma może posiadać produkt umożliwiający rozszerzenie ochrony o EDR bez wymiany całego środowiska.

Dlatego proces powinien wyglądać raczej:

1. inwentaryzacja obecnych zabezpieczeń,
2. analiza ryzyka,
3. określenie potrzeb,
4. sprawdzenie możliwości obecnej platformy,
5. dopiero później wybór produktu.

Kupowanie nowego rozwiązania tylko dlatego, że w jego nazwie znajduje się „EDR”, nie jest strategią bezpieczeństwa.

Najczęstszy błąd: EDR wdrożony, ale nieobsługiwany

To problem, który warto podkreślić ponownie.

Można kupić bardzo dobre rozwiązanie EDR.

Można wdrożyć agentów na wszystkich komputerach.

Można skonfigurować centralną konsolę.

Ale jeżeli przez trzy miesiące nikt do niej nie zagląda, firma nie korzysta z jednej z najważniejszych zalet tego systemu:

możliwości reagowania na wykryte zachowanie.

CISA wskazywała już w analizach incydentów na znaczenie ciągłego przeglądania alertów EDR i właściwej obsługi telemetrii.

Dlatego przed zakupem warto ustalić:

kto będzie odpowiadał za alert?

kto może odizolować urządzenie?

kto przeprowadzi analizę?

co dzieje się poza godzinami pracy?

kiedy alert jest eskalowany?

Technologia bez procesu reagowania pozostaje tylko częściowo wykorzystana.

Antywirus, EDR i XDR – porównanie

Należy traktować tę tabelę jako uproszczenie. Konkretne funkcje zależą od producenta i poziomu licencji.

Czego więc potrzebuje firma?

Nie ma jednej odpowiedzi właściwej dla wszystkich.

Poziom 1 – minimum

Każda firma powinna posiadać przynajmniej:

• centralnie zarządzaną ochronę endpointów,
• regularne aktualizacje,
• MFA,
• backup,
• zabezpieczoną pocztę,
• odpowiednią politykę uprawnień.

Poziom 2 – większa zdolność wykrywania i reakcji

Jeżeli organizacja posiada ważne dane lub kilkadziesiąt stanowisk, warto rozważyć EDR.

Największą wartością jest tutaj możliwość:

• wykrywania bardziej złożonych zachowań,
• analizowania incydentów,
• szybkiej reakcji,
• izolowania zagrożonego urządzenia,
• prowadzenia threat huntingu.

Poziom 3 – korelacja całego środowiska

Jeżeli infrastruktura obejmuje wiele systemów, a organizacja chce analizować ataki przechodzące pomiędzy:

urządzeniem → tożsamością → pocztą → aplikacją → chmurą

warto rozważyć XDR.

Poziom 4 – stały monitoring

Jeżeli firma nie posiada własnego zespołu bezpieczeństwa, samo EDR lub XDR może być niewystarczające operacyjnie.

Wtedy warto rozważyć dodatkowo:

MDR / SOC / SOCaaS

czyli usługę, w której specjaliści faktycznie obserwują środowisko i reagują na zagrożenia.

Podsumowanie – antywirus, EDR czy XDR?

Klasyczny antywirus nadal jest potrzebny, ale nie powinien być traktowany jako kompletne zabezpieczenie przedsiębiorstwa.

Antywirus / EPP odpowiada przede wszystkim za ochronę urządzenia i zapobieganie znanym oraz wykrywanym zagrożeniom.

EDR dodaje zaawansowaną widoczność tego, co dzieje się na endpointach, pozwala analizować przebieg ataku oraz podejmować działania reakcyjne.

XDR rozszerza ten model poza same urządzenia i koreluje dane z wielu warstw środowiska, dzięki czemu zespół bezpieczeństwa może zobaczyć szerszy obraz incydentu.

Najważniejsze jest jednak to, że:

droższa technologia nie zastąpi procesu bezpieczeństwa.

Organizacja posiadająca prostszy EDR, który jest właściwie skonfigurowany, monitorowany i obsługiwany, może być lepiej chroniona niż firma posiadająca rozbudowany XDR, którego alertów nikt nie analizuje.

Dlatego przy wyborze rozwiązania warto ocenić nie tylko:

co system potrafi wykryć,

ale również:

kto będzie analizował alerty, kto zareaguje na incydent, jak szybko może odizolować urządzenie oraz w jaki sposób rozwiązanie wpisuje się w pozostałe zabezpieczenia firmy.

Dopiero połączenie technologii, procesów i ludzi daje realną zdolność do wykrywania i zatrzymywania współczesnych cyberataków.