Руководство по оценке EDR от Red Canary мне показался полезным. Ниже приведу список, что мне показалось важным.
EDR - неотъемлемая часть AV, Next-Gen-ов и, собственно, EDR, обеспечивающего визибилити, о чем я писал 8 лет назад. Поэтому предлагаю использовать общий термин, подсмотренный у Gartner, - Endpoint Protection Platfrom (EPP).
Рынок EDR полностью сложился и в общем все вендоры предлагают схожий набор функциональных возможностей, однако, то, что наиболее подходит конкретной организации сильно зависит от особенностей последней.
Функциональные возможности, и необходимая телеметрия, EDR рассматриваются в перспективах: Visibility, Alerting, Prevention, Response, Reporting.
Open Cybersecurity Schema Framework (OCSF) - набирающий популярность стандарт
Некоторые фичи IRP, по агрегации и корреляции алертов от разных поставщиков, отмечены как требуемый функционал от XDR/EDR. Полагаю, это правильно, поскольку, уж если назвали себя "XDR", надо выдавать собранный на базе событий из разных источников алерт, а не требовать внешней агрегации. Однако, вместе с тем, отмечается необходимость SIEM по корреляции и агрегации, что наводит мысль о стандартной (но с моей точки зрения, кривой) схеме: EDR/XDR коррелирует события своих сенсоров, а SIEM делает то же уже с алертами EDR/XDR и событиями других источников за пределами возможностей XDR/EDR.
Prevention, в т.ч. и по поведению - обязательный функционал современного EDR. Приводится некий список того, что надо бы блокировать, но я бы исходил не из конкретных видов активности, а из технической возможности на базе собираемой телеметрии автоматически принять решение о вредоносности активности (я об этом не раз писал, в т.ч. и в статье по ссылке выше).
Для реализации prevention не исключается возможность применения песочниц. Песочницы и эндпоинт хорошо дополняют друг друга, о чем я говорил в докладе
Приведен список респонсов и требуется возможность автоматического исполнения респонсов для некоторых алертов, для чего необходима "легковесная" оркестрация (часть SOAR)
Поскольку размыты границы между EDR/XDR, SIEM, SOAR, обязательно наличие функционального API.
Многе EDR имеют возможность запуска кастомных скриптов, однако надо иметь в виду совместимость версий требуемых интерпретаторов.
Подсвечен риск компрометации самой платформы EDR, что откроет перед атакующим безграничные возможности, а в качестве контроля предлагается MFA 😁. Без комментариев.
Особенно важна инвентаризационная отчетность, как о защищаемой системе (кстати, важная информация для корреляции), так и о состоянии самого защитного решения.
По всему документу можно отметить, что критерии больше подходят для облачного EDR/XDR, что понятно, зная модель бизнеса Канареек. Однако, не вижу большой проблемы поддержки тех же фич и в on-prem.
Документ будет полезен лицам, принимающим решение о выборе EDR\MDR для своей инфраструктуры.
#MDR #vCISO
