SekciaEndpoint Security
Technologická kategória
EDR
EDR patrí do oblasti Endpoint Security. EDR sleduje aktivitu na koncových bodoch a umožňuje vyšetrovanie, izoláciu a reakciu na podozrivé správanie. Pracuje s endpoint telemetriou, procesmi, súbormi, sieťovými spojeniami a časovou osou incidentu.
Slovník skratiek
Prehľad vysvetľuje skratky použité v tejto časti, aby bolo jasné, ktorú bezpečnostnú funkciu označujú.
- EDR
- Endpoint Detection and ResponseDetekcia, vyšetrovanie a reakcia na podozrivé správanie endpointov a serverov.
Čo technológia rieši
EDR sleduje aktivitu na koncových bodoch a umožňuje vyšetrovanie, izoláciu a reakciu na podozrivé správanie. Pracuje s endpoint telemetriou, procesmi, súbormi, sieťovými spojeniami a časovou osou incidentu.
Prečo je dôležitá
Nadväzuje na EPP v prostrediach, kde organizácia potrebuje vidieť, čo sa na zariadení stalo, rýchlo reagovať a pripraviť podklady pre bezpečnostnú prevádzku.
V praxi nejde iba o technickú funkciu, ale o schopnosť zaradiť riešenie do širšej bezpečnostnej architektúry. Organizácie často prevádzkujú desiatky konzol a nástrojov, pričom problémom nie je len samotná bezpečnosť, ale aj orientácia v tom, ktorá technológia rieši konkrétny typ rizika.
Táto kategória pomáha presne pomenovať riešený problém, zúžiť výber relevantných riešení a odlíšiť technológie, ktoré sa na prvý pohľad prekrývajú. To je dôležité najmä pre partnerov a zákazníkov, ktorí už kybernetickej bezpečnosti rozumejú, ale potrebujú rýchlo zmapovať trh a dostupné portfólio.
Typické scenáre použitia
EDR sa najčastejšie rieši vtedy, keď organizácia potrebuje presnejšiu kontrolu nad konkrétnou vrstvou bezpečnosti v oblasti Endpoint Security. Môže ísť o doplnenie existujúcej architektúry, nahradenie zastaraného nástroja, rozšírenie viditeľnosti alebo zjednotenie funkcií, ktoré sú dnes rozdelené medzi viacero produktov.
Miesto v architektúre
V širšej architektúre Endpoint Security treba EDR posudzovať podľa toho, ako sa napája na existujúce bezpečnostné a prevádzkové procesy. Praktická hodnota vzniká až vtedy, keď riešenie poskytuje použiteľné dáta, jasné politiky, zrozumiteľný reporting a integrácie s existujúcimi nástrojmi.
Pri mapovaní na výrobcov z portfólia SecTec je preto dôležité vnímať nielen samotnú funkcionalitu, ale aj spôsob nasadenia, licenčný model, úroveň správy, podporované platformy a možnosť prepojenia s ďalšími oblasťami. V konkrétnej architektúre môže byť EDR samostatnou platformou, funkciou alebo súčasťou širšieho riešenia.
Ako technológiu posudzovať
Pri výbere riešenia odporúčame sledovať najmä:
- aký problém riešenie pokrýva a kde sú jeho hranice
- či podporuje existujúce prostredie organizácie
- ako sa integruje so SIEM, SOAR, XDR, IAM, cloudom alebo ticketingom
- akú úroveň automatizácie, reportingu a auditovateľnosti poskytuje
- či znižuje prevádzkovú komplexitu alebo iba pridáva ďalšiu izolovanú konzolu
Súvisiace oblasti
Výrobcovia z portfólia SecTec
Pokrytie útokov a obranný kontext
MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Praktické typy útokov
- Krádež prihlasovacích údajovÚtočník získava heslá, tokeny, relácie alebo iný autentifikačný materiál a používa ho na rozšírenie prístupu.
- Zneužitie verejnej aplikácie alebo APIÚtočník využíva zraniteľnú webovú aplikáciu, API, klientsky kód alebo dodávateľský komponent na prvotný prístup a vykonanie kódu.
- Malware a Command and ControlŠkodlivý kód sa spúšťa, udržiava prístup a komunikuje s infraštruktúrou útočníka cez bežné alebo skryté kanály.
- Ransomware a narušenie dostupnostiÚtočník šifruje alebo manipuluje dáta, zastavuje služby, blokuje obnovu a spôsobuje prevádzkový dopad.
- Eskalácia oprávnení a perzistenciaÚtočník rozširuje oprávnenia, vytvára alebo mení účty a politiky a buduje si opakovaný prístup k systémom, identitám alebo cloudovému prostrediu.
- Obchádzanie ochrany a oslabovanie kontrolÚtočník skrýva aktivitu, odstraňuje stopy, maskuje kód alebo oslabuje bezpečnostné nástroje, šifrovanie, firewall a mechanizmy obnovy.
- Insider hrozba a zneužitie oprávneného prístupuInterný používateľ alebo útočník s platným účtom zneužíva legitímne oprávnenia na vyhľadávanie, kopírovanie, manipuláciu alebo odoslanie citlivých dát.
- Injection a vykonanie príkazuNedôveryhodný vstup zmení význam príkazu, dotazu alebo šablóny a umožní čítanie dát, obídenie logiky alebo vykonanie kódu.
- Škodlivý upload a nebezpečná deserializáciaAplikácia prijme alebo spracuje škodlivý súbor či serializovaný objekt a umožní vykonanie kódu, obídenie kontrol alebo kompromitáciu ďalších používateľov.
Relevantné techniky ATT&CK
- T1003 · OS Credential DumpingDetect, Respond, Validate
- T1027 · Obfuscated Files or InformationDetect, Respond, Validate
- T1053 · Scheduled Task/JobDetect, Respond, Validate
- T1055 · Process InjectionDetect, Respond, Validate
- T1059 · Command and Scripting InterpreterDetect, Respond, Validate
- T1070 · Indicator RemovalDetect, Respond, Validate
- T1105 · Ingress Tool TransferDetect, Respond, Validate
- T1486 · Data Encrypted for ImpactDetect, Respond, Validate
- T1543 · Create or Modify System ProcessDetect, Respond, Validate
- T1547 · Boot or Logon Autostart ExecutionDetect, Respond, Validate
- T1685 · Disable or Modify ToolsDetect, Respond, Validate