EDR — система обнаружения и реагирования на конечные точки¶
EDR (англ. Endpoint Detection and Response, «обнаружение и реагирование на конечные точки») — класс программных средств информационной безопасности, предназначенных для непрерывного мониторинга конечных точек (компьютеров, серверов, мобильных устройств), обнаружения вредоносной активности и автоматизированного реагирования на инциденты. В отличие от традиционных антивирусов, ориентированных на сигнатурное сопоставление файлов, EDR-системы анализируют поведение процессов, сетевые соединения и системные события в реальном времени, сохраняют телеметрию и позволяют проводить расследование атак в ретроспективе.
¶История
Термин «Endpoint Detection and Response» ввёл в 2013 году аналитик компании Gartner Антон Чувакин (Anton Chuvakin). Он описал новую категорию продуктов, которые, в отличие от классических антивирусов, не ограничиваются блокировкой угроз, а обеспечивают полный цикл: обнаружение, расследование, реагирование и восстановление после инцидента.
Первыми EDR-продуктами считаются решения компании Bit9 (впоследствии Carbon Black), запустившей платформу в 2011 году. Ранее аналогичные возможности предлагали узкоспециализированные инструменты для форензик-анализа, но они не были рассчитаны на непрерывную эксплуатацию в корпоративной среде.
В России и странах СНГ развитие EDR-рынка ускорилось в 2017—2020 годах в связи с ужесточением требований регуляторов (например, рекомендаций Банка России по защите информации) и ростом числа целевых атак на промышленные предприятия и финансовый сектор. К 2020-м годам EDR стал одним из базовых компонентов архитектуры информационной безопасности крупных организаций.
¶Принцип работы
EDR-система состоит из трёх основных компонентов:
- Агент (endpoint agent) — программный модуль, устанавливаемый на каждую конечную точку. Агент собирает телеметрию: запуск и завершение процессов, обращения к файлам и реестру, сетевые соединения, изменения конфигураций.
- Сервер управления (management server) — централизованная платформа, где телеметрия хранится, коррелируется и анализируется.
- Консоль аналитика (analyst console) — интерфейс для специалиста SOC (Security Operations Center), позволяющий расследовать инциденты, просматривать цепочки событий и запускать реагирование.
Агент фиксирует события на уровне операционной системы и передаёт их на сервер. Правила корреляции и машинного обучения выявляют аномалии: например, запуск PowerShell с подозрительными параметрами, попытку доступа к системным процессам, нехарактерные сетевые подключения. При обнаружении признаков атаки система генерирует алерт и может автоматически изолировать заражённое устройство от сети, завершить вредоносный процесс или заблокировать файл.
¶Ключевые возможности
| Возможность | Описание |
|---|---|
| Обнаружение по поведению (BA) | Анализ действий процессов вместо сверки с сигнатурами |
| Телеметрия | Сбор и хранение подробных журналов событий конечной точки |
| Расследование | Построение цепочек событий (attack chain), ретроспективный поиск |
| Реагирование | Автоматическая изоляция устройства, завершение процессов, удаление файлов |
| Интеграция | Обмен данными с SIEM, SOAR, системами предотвращения утечек (DLP) |
¶Классификация
По способу размещения выделяют:
- On-premise EDR — разворачивается на инфраструктуре заказчика, обеспечивает полный контроль над данными;
- Cloud EDR — работает как сервис (SaaS), не требует собственного серверного парка;
- Гибридные решения — сочетают локальное хранение телеметрии с облачной аналитикой.
По глубине интеграции EDR делят на самостоятельные платформы и модули, встроенные в комплексные продукты XDR (Extended Detection and Response), объединяющие данные конечных точек, сетей, почты и облачных сервисов.
¶Отличие от антивируса
| Параметр | Антивирус | EDR |
|---|---|---|
| Метод обнаружения | Сигнатуры и эвристика | Поведенческий анализ, корреляция событий |
| Глубина данных | Файл и его метаданные | Полная телеметрия конечной точки |
| Реагирование | Блокировка файла | Изоляция, расследование, восстановление |
| Расследование | Ограничено | Полный цикл forensic-анализа |
¶Применение
EDR-системы используются в центрах мониторинга безопасности (SOC) банков, промышленных предприятий, государственных структур и крупных корпораций. В России среди поставщиков EDR-решений — «Лаборатория Касперского», «Инфотекс», «Код Безопасности», «Ростелеком-Солар», Positive Technologies. Многие российские EDR-продукты сертифицированы ФСТЭК и включены в реестр отечественного ПО.
¶См. также
- SIEM
- SOAR
- XDR
- SOC
- Защита конечных точек
¶Источники
- Gartner. Market Guide for Endpoint Detection and Response Solutions, 2016.
- Chuvakin A. Endpoint Detection and Response: A New Category of Security Solutions, 2013.
- NIST SP 800-83 Rev. 1. Guide to Malware Incident Prevention and Handling.
- Рекомендации Банка России по защите информации в кредитных организациях.
- Документации ведущих поставщиков EDR-решений.