EDR · تشخیص و پاسخ
گروه خدمات: امنیت سایبریتشخیص و پاسخ در نقاط پایانی، با بیان صریح محدودیت‌هایش
EDR آنچه را روی دستگاه رخ می‌دهد ثبت میکند تا رفتار مشکوک شناسایی، بررسی و مهار شود. ما آن را پیکربندی میکنیم، تشخیص‌هایش را در ساعات توافقشده بررسی میکنیم و از اقدامات پاسخ آن استفاده میکنیم، و در عین حال روشن می‌گوییم چه چیزهایی را نمی‌تواند ببیند.
در یک نگاه
- خدمت
- پیکربندی و راهبری قابلیت تشخیص و پاسخ در نقاط پایانی (EDR) روی دستگاه‌های تحت پوشش
- مناسب برای
- سازمان‌هایی با حدود ۵ تا ۲۰۰ کارمند که داده‌های حساس نگهداری می‌کنند یا بیمه‌گرشان EDR را الزامی کرده است
- موارد اصلی
- ثبت دستگاه‌ها در EDR، بررسی سلامت حسگرها، اولویت‌بندی تشخیصها در ساعات توافقشده، ایزوله کردن دستگاه، خلاصه بررسی‌ها و تنظیم دقیق
- بهطور پیش‌فرض شامل نمی‌شود
- پاسخ پیوسته خارج از ساعات کاری، شکار پیشگیرانه تهدید، تهیه نسخه جرم‌شناسی و پوشش دستگاه‌های مدیریت‌نشده یا تجهیزات شبکه
- پیش‌نیاز لایسنس
- لایسنسی با قابلیت EDR مانند Microsoft Defender for Business، Defender for Endpoint Plan 2 یا پلتفرمی مشابه
- مبنای قیمت‌گذاری
- به‌ازای هر دستگاه تحت پوشش، ماهانه، که در پیش‌فاکتور کتبی تأیید می‌شود؛ لایسنس‌ها جداگانه قیمت‌گذاری می‌شوند
- نحوه شروع
- برای تأیید لایسنس و تعداد دستگاه‌ها یک جلسه مشاوره رزرو کنید یا با «ارزیابی امنیت دستگاه» شروع کنید
کاری که EDR انجام می‌دهد و آنتی‌ویروس نه
آنتی‌ویروس سنتی فایل‌ها را با تهدیدهای شناخته‌شده مقایسه و موارد منطبق را مسدود میکند. تشخیص و پاسخ در نقاط پایانی یک حسگر اضافه میکند که اجرای فرایندها، خط فرمان‌ها، اتصالات شبکه، تغییرات فایل‌ها و فعالیت ورود به حساب را روی هر دستگاه بهطور پیوسته ثبت میکند. سپس تحلیل‌های ابری به دنبال الگوهایی می‌گردند که نشان‌دهنده حمله در جریان باشند، مانند سندی از Office که PowerShell را اجرا میکند، ابزارهای استخراج اطلاعات ورود یا رمزگذاری انبوه فایل‌ها.
وقتی EDR تشخیصی اعلام میکند، تحلیلگر می‌تواند خط زمانی رویدادهای منجر به آن را ببیند، دستگاه‌های دیگری را که همان نشانه‌ها را دارند پیدا کند و اقدام پاسخ انجام دهد: جدا کردن دستگاه از شبکه، متوقف کردن یک فرایند، قرنطینه کردن فایل یا جمع‌آوری بسته بررسی.
EDR یک قابلیت است، نه یک خدمت کامل. ارزش آن به استقرار درست، سالم ماندن حسگرها، بررسی تشخیصها توسط کسی که آنها را می‌فهمد و انجام سریع اقدامات پاسخ بستگی دارد. این خدمت همان لایه عملیاتی را فراهم میکند.
چرا سازمان‌ها به سراغ EDR می‌روند
حملاتی که از ابزارهای قانونی استفاده می‌کنند
بسیاری از نفوذها به ابزارهای داخلی سیستم مانند PowerShell، Remote Desktop و وظایف زمان‌بندی‌شده متکی‌اند که آنتی‌ویروس مبتنی بر امضا برای قضاوت درباره آنها طراحی نشده است.
نبود دید پس از هشدار
وقتی چیزی مسدود می‌شود، هیچ‌کس نمی‌تواند بگوید از کجا آمده، به چه چیزهای دیگری دست زده یا آیا دستگاه‌های دیگر هم آلوده شده‌اند.
پرسش‌نامه‌های بیمه و مشتریان
بیمه‌گران سایبری و مشتریان بزرگ‌تر بهطور فزاینده می‌پرسند آیا EDR روی همه نقاط پایانی مستقر است و چه کسی هشدارهای آن را بررسی میکند.
EDR خریداری‌شده اما بی‌استفاده
Microsoft 365 Business Premium شامل Defender for Business با قابلیت‌های EDR است، اما در بسیاری از تنت‌ها هرگز دستگاهی ثبت نشده یا صف رخدادها بررسی نمی‌شود.
آنچه راهبری میکنیم
ثبت حسگرها
دستگاه‌ها از طریق Intune یا بسته‌های نصب در پلتفرم EDR ثبت می‌شوند و وضعیت ثبت با فهرست دستگاه‌های شما تطبیق داده می‌شود.
اولویت‌بندی تشخیصها
رخدادها و هشدارها در ساعات توافقشده بررسی، به‌عنوان تهدید واقعی، بی‌خطر یا هشدار کاذب دسته‌بندی و همراه با دلیل ثبت می‌شوند.
اقدامات مهار
ایزوله کردن دستگاه، متوقف کردن فرایند، قرنطینه فایل و غیرفعال کردن حساب کاربر در Microsoft Entra ID، هر جا شواهد آن را توجیه کند.
خلاصه بررسی‌ها
گزارش‌هایی به زبان ساده درباره تشخیص‌های مهم: چه اتفاقی افتاد، کدام دستگاه‌ها و حساب‌ها درگیر بودند، ما چه کردیم و چه کاری باقی مانده است.
تنظیم دقیق
سرکوب فعالیت‌های بی‌خطر شناخته‌شده نرمافزارهای تخصصی کسبوکار شما، به‌صورت محدود تا تهدیدهای واقعی پنهان نمانند.
تنظیمات بررسی خودکار
هر جا پلتفرم پشتیبانی کند، سطح بررسی و اصلاح خودکار آگاهانه تعیین و مستند می‌شود.
کارهایی که EDR نمی‌تواند انجام دهد
EDR فقط دستگاه‌هایی را می‌بیند که حسگر سالم دارند. گوشی‌های شخصی، لپ‌تاپ‌های مدیریت‌نشده، چاپگرها، فایروال‌ها و بیشتر فعالیت‌های نرمافزارهای ابری را نمی‌بیند، مگر آنکه ابزارهای جداگانه‌ای داده آنها را به آن برسانند. نمی‌تواند جلوی مهاجمی را بگیرد که با اطلاعات ورود سرقت‌شده از دستگاهی که شما مدیریت نمی‌کنید وارد Microsoft 365 می‌شود. تشخیص‌هایی که خارج از ساعات توافقشده رخ می‌دهند همچنان حفاظت‌های خودکار را فعال می‌کنند، اما بررسی انسانی تا بازه بررسی بعدی منتظر می‌ماند، مگر آنکه پوشش گسترده‌تر در برنامه شما آمده باشد.
محدوده خدمت EDR
معمولاً شامل می‌شود
- ثبت دستگاه‌های Windows، macOS و Windows Server تحت پوشش در پلتفرم EDR
- بازبینی هفتگی سلامت حسگرها و رفع مشکل دستگاه‌هایی که گزارش‌دهی را متوقف کرده‌اند
- اولویت‌بندی رخدادها و هشدارها در ساعات کاری توافقشده
- اقدامات مهار طبق دستورالعمل پاسخی که شما تأیید کرده‌اید
- خلاصه‌های مکتوب از تشخیص‌های مهم
- بازبینی فصلی تنظیمات
به محدوده یا پیش‌فاکتور جداگانه نیاز دارد
- پایش پیوسته شبانه‌روزی یا خدمات مرکز عملیات امنیت (SOC)
- شکار پیشگیرانه تهدید در داده‌های تاریخی
- تهیه نسخه جرم‌شناسی از دیسک یا حافظه و مدیریت شواهد برای دعاوی حقوقی
- لایسنس EDR، مگر آنکه در قالب بسته‌ای با پیش‌فاکتور تأمین شود
- دستگاه‌هایی که امکان اجرای حسگر EDR را ندارند
پلتفرم‌های EDR
- Microsoft Defender for Business (بخشی از Microsoft 365 Business Premium)
- Microsoft Defender for Endpoint Plan 2 برای سازمان‌هایی با لایسنس پیشرفته‌تر
- صف رخدادها و Advanced Hunting در Microsoft Defender XDR، در صورت داشتن لایسنس
- پلتفرم‌های EDR مشابه از سایر تولیدکنندگان که از قبل در محیط شما مستقرند
- Microsoft Intune برای نصب حسگر و سیگنال‌های انطباق دستگاه
چه کسانی بیشترین بهره را می‌برند
شرکت‌هایی با داده‌های حساس مشتریان
سازمان‌های حسابداری، حقوقی، مهندسی و درمانی که یک نفوذ بی‌صدا می‌تواند پرونده‌های محرمانه‌شان را افشا کند.
دارندگان لایسنس Business Premium
سازمان‌هایی که از طریق Microsoft 365 Business Premium هزینه قابلیت‌های EDR را می‌پردازند اما هنوز از آنها استفاده نمی‌کنند.
تیم‌هایی که تمدید بیمه پیش رو دارند
کسب‌وکارهایی که باید پاسخ دقیقی بدهند که آیا EDR مستقر است و چه کسی آن را بررسی میکند.
آنچه به دست می‌آورید
- دید روشن به اینکه تهدید چگونه به دستگاه رسید و چه کرد
- امکان ایزوله کردن از راه دور لپ‌تاپ آلوده در ساعات توافقشده
- تشخیص‌هایی که بررسی و ثبت می‌شوند، نه اینکه در صف رها شوند
- استفاده بهتر از قابلیت‌های امنیتی که شاید همین حالا لایسنسشان را دارید
- مستندات روشن از پوشش و محدودیت‌ها برای بیمه‌گران
EDR را چگونه راه‌اندازی میکنیم
بررسی لایسنس و دستگاه‌ها
تأیید میکنیم کدام لایسنس‌ها شامل EDR هستند، کدام دستگاه‌ها می‌توانند حسگر را اجرا کنند و آیا محصول دیگری با آن تداخل دارد.
دستورالعمل پاسخ
به‌صورت مکتوب توافق میکنیم کدام اقدامات را بدون پرسیدن می‌توانیم انجام دهیم، مانند ایزوله کردن لپ‌تاپ، و کدام‌ها به تأیید شما نیاز دارند.
ثبت آزمایشی
ابتدا گروه کوچکی از دستگاه‌ها ثبت می‌شوند تا پیش از استقرار کامل، هشدارهای ناشی از نرمافزارهای شما مشاهده شود.
استقرار کامل و تنظیم دقیق
بقیه دستگاه‌ها ثبت می‌شوند و تشخیص‌های بی‌خطر به‌صورت محدود حذف می‌شوند.
راهبری
اولویت‌بندی، مهار، خلاصه‌ها و بازبینی‌های فصلی طبق محدوده خدمات شما ادامه پیدا میکند.
روش‌های خرید
قیمت‌ها پیشنهادی هستند و در پیش‌فاکتور کتبی تأیید می‌شوند.
افزودن راهبری EDR به امنیت دستگاه‌ها
اشتراک «امنیت مدیریتشده دستگاه» را با اولویت‌بندی و پاسخ EDR روی همان دستگاه‌ها گسترش دهید.
ابتدا «ارزیابی امنیت دستگاه»
پیش از تعهد به راهبری دوره‌ای EDR، پوشش، لایسنس و پیکربندی فعلی را تأیید کنید.
در قالب برنامه امنیت سایبری مدیریتشده
EDR را با کنترل‌های هویت، ایمیل و پشتیبان‌گیری در یک محدوده خدمات با مسئولیت واحد ترکیب کنید.
پرسش‌های متداول
آیا EDR همان خدمات تشخیص و پاسخ مدیریتشده (MDR) است؟
نه به شکلی که ما ارائه میدهیم. MDR معمولاً به معنای پایش پیوسته توسط یک تیم تحلیلگر اختصاصی است. ما EDR را راهبری میکنیم و تشخیصها را در ساعات توافقشده بررسی میکنیم. اگر به پوشش پیوسته نیاز داشته باشید، در مرحله بررسی اولیه صریح درباره آن گفتوگو میکنیم.
آیا ما از قبل EDR داریم؟
اگر لایسنس Microsoft 365 Business Premium دارید، Defender for Business را هم دارید که قابلیت‌های EDR را شامل می‌شود. اینکه واقعاً کار میکند یا نه، به ثبت دستگاه‌ها و پیکربندی بستگی دارد که می‌توانیم آن را بررسی کنیم.
آیا EDR کامپیوترهای ما را کند میکند؟
حسگرهای امروزی EDR سبکاند، اما تداخل با آنتیویروسهای قدیمی یا نرمافزارهای سنگین کسبوکار ممکن است مشکل ایجاد کند. به همین دلیل ابتدا آزمایشی اجرا میکنیم و محصولات متداخل را بهطور تمیز حذف میکنیم.
آیا بدون پرسیدن از ما دستگاهی را ایزوله میکنید؟
فقط طبق دستورالعمل پاسخی که شما تأیید میکنید. یک انتخاب رایج این است که اجازه دهید در برابر تهدیدهای با اطمینان بالا، مانند باجافزار فعال، دستگاه فوراً ایزوله و بلافاصله پس از آن به آنها اطلاع داده شود.
خدمات مرتبط
محصولات و بسته‌ها
صنایعی که پشتیبانی میکنیم
بدانید آیا EDR شما روشن است و کسی آن را زیر نظر دارد
لایسنس‌ها، ثبت دستگاه‌ها و ترتیبات پاسخ شما را بررسی میکنیم و سپس محدوده کتبی خدمات را پیشنهاد میدهیم.