Klasyczny antywirus działa reaktywnie — rozpoznaje znane zagrożenie po sygnaturze i je blokuje. Problem w tym, że coraz więcej ataków wykorzystuje techniki, które nie zostawiają klasycznej sygnatury, tylko wykorzystują legalne narzędzia systemowe do złośliwych celów (tzw. living-off-the-land). Taka sytuacja wymusza zupełnie inne podejście do wykrywania zagrożeń.
EDR (Endpoint Detection and Response) monitoruje zachowanie na poszczególnych urządzeniach końcowych, szukając wzorców typowych dla ataku, a nie konkretnego znanego złośliwego pliku. XDR (Extended Detection and Response) idzie o krok dalej, łącząc dane z wielu źródeł jednocześnie — sieci, urządzeń końcowych, poczty, chmury — żeby złapać atak, który na pojedynczym punkcie wyglądałby niewinnie, ale w zestawieniu z innymi zdarzeniami układa się w wyraźny wzorzec.
Firewall, NAC, SIEM — gdzie EDR pasuje w całości
Marcin Biały z Grandmetric na tej samej konferencji zwracał uwagę na coś, co brzmi jak żart, ale jest smutną prawdą wielu firm: budżet na bezpieczeństwo pojawia się często dopiero po incydencie, kiedy jest już za późno, żeby zapobiec stratom. Jego przegląd warstw ochrony — EDR, XDR, firewall nowej generacji, NAC (kontrola dostępu do sieci), SIEM i SOC — pokazywał, że żadna pojedyncza warstwa nie wystarczy, ale też, że nie trzeba wdrażać wszystkiego naraz, żeby realnie podnieść poziom bezpieczeństwa.
Czas reakcji ma znaczenie
W praktyce różnica między incydentem, który kosztuje firmę kilka godzin przestoju, a takim, który kosztuje tygodnie odbudowy zaufania klientów, sprowadza się często do czasu wykrycia. Im szybciej system zauważy nietypowe zachowanie, tym mniejsze pole do popisu ma atakujący, zanim ktoś zareaguje ręcznie albo zadziała automatyzacja.
Dla firm, które dopiero zaczynają porządkować ten obszar, dobrą praktyką jest zacząć od inwentaryzacji — jakie urządzenia końcowe w ogóle znajdują się w sieci i czy każde z nich ma jakąkolwiek formę monitoringu. Zaskakująco często odpowiedź na to pytanie jest mniej oczywista, niż mogłoby się wydawać.
Jeśli budujecie albo rozwijacie strategię wykrywania i reagowania na incydenty, GigaCon regularnie zaprasza praktyków z tego obszaru na swoje konferencje bezpieczeństwa. Zarejestruj się na najbliższą edycję bezpłatnie.