Hvorfor antivirus ikke rækker
Klassisk antivirus genkender kendt malware på signaturer. Moderne angreb er bygget til at undgå netop det. De bruger legitime indbyggede værktøjer som PowerShell og fjernadministration, stjålne loginoplysninger og filløse teknikker, hvor der aldrig lander et ondt program på disken. For antivirus ligner det normal drift.
EDR kigger på adfærdskæder i stedet. Et Office-program starter PowerShell, som henter kode fra internettet, som begynder at læse loginoplysninger. Hver del kan være uskyldig. Kæden er et angreb.
Detection og response, oversat
Detection. Agenten på hvert endpoint indsamler telemetri og matcher den mod angrebsmønstre, ofte kortlagt efter MITRE ATT&CK. Mistænkelige kæder udløser alarmer med kontekst. Hvad skete, i hvilken rækkefølge, udløst af hvem.
Response. Her ligger værdien. Fra konsollen eller automatisk kan man isolere maskinen fra netværket, mens den stadig kan undersøges, afslutte processer, slette filer, rulle ændringer tilbage og gennemsøge alle andre endpoints for de samme spor. Ved ransomware er det forskellen på minutter og dage.
Hvad er forskellen på EDR, XDR og SIEM?
De bliver forvekslet, men de er lag i samme kæde.
- EDR ser dybt, men kun på endpoints.
- XDR udvider med signaler fra mail, identitet, netværk og cloud og korrelerer dem til samlede hændelser.
- SIEM samler og analyserer logs fra alt, også systemer uden agent, og er samtidig stedet, hvor logningskrav bliver opfyldt, og hvor man kan efterforske historisk.
En typisk rejse for en SMV er EDR først, fordi effekten per krone er størst, og derefter XDR eller SIEM for sammenhæng og dokumentation.
Hvad det kræver af jer
Alarmer skal ses og handles på, også klokken tre om natten. Et EDR-produkt uden nogen bag skærmen er en alarmcentral uden vagter. Derfor vælger mange SMV’er en managed model, hvor en ekstern partner overvåger, triagerer og reagerer.
To ting mere. Udrul agenten på alle endpoints, også serverne. Huller i dækningen er angriberens foretrukne opholdssted. Og aftal på forhånd, hvem der må isolere en maskine i drift. Den beslutning skal ikke træffes for første gang, mens noget krypterer.
Vi leverer den drevne model under systemovervågning.