EDR и антивирус

Традиционный антивирус (AV) и современная система EDR защищают конечные точки, но работают по-разному.

Понимание этой разницы помогает увидеть, почему EDR стал необходим.

Классический антивирус опирается на сигнатуры — отпечатки известных вредоносных программ.

Он сканирует файлы и сравнивает их с базой данных. При совпадении файл блокируется или удаляется.

Сигнатуры обнаруживают только уже известные вредоносные программы.

Злоумышленники слегка изменяют свой код и создают новые варианты, которым не соответствует ни одна сигнатура, обходя антивирус, работающий только на основе сигнатур.

Некоторые современные атаки вообще не записывают вредоносный файл на диск. Они работают в памяти или используют встроенные инструменты, например PowerShell.

Если файл отсутствует, традиционному антивирусу нечего сканировать и обнаруживать.

EDR отслеживает поведение и контекст во всей системе.

Система записывает цепочки процессов, сетевые обращения и изменения файлов, а затем выявляет подозрительные закономерности даже без известной сигнатуры.

Антивирус в основном занимается предотвращением — блокирует известные вредоносные файлы.

EDR добавляет обнаружение и реагирование: предполагается, что некоторые угрозы проникнут в систему, поэтому предоставляются инструменты для их поиска и остановки.

Антивирус обычно сообщает лишь о том, что что-то было заблокировано.

EDR сохраняет подробную временную шкалу, поэтому аналитики могут увидеть, как началась атака, к чему она получила доступ и насколько распространилась.

Антивирус может поместить файл в карантин. EDR умеет гораздо больше.

• изолировать узел
• завершать процессы
• искать угрозы на всех конечных точках
• откатывать изменения

Антивирус в основном работает самостоятельно. EDR создаёт оповещения, для расследования которых нужны квалифицированные специалисты.

EDR предоставляет мощные возможности, но предполагает наличие команды по безопасности или управляемого сервиса, которые будут действовать на основе найденной информации.

EDR не заменяет антивирус полностью. Многие современные платформы объединяют оба подхода.

Антивирус быстро блокирует известные угрозы, а EDR обнаруживает сложные и неизвестные угрозы — это многоуровневая защита.

Домашнему пользователю с небольшими потребностями может быть достаточно хорошего антивируса.

Организация, сталкивающаяся с целевыми атаками, получает преимущества от EDR благодаря предоставляемым им видимости, обнаружению неизвестных угроз и инструментам реагирования.

Сравнение подходов:

• Антивирус — предотвращение известных угроз на основе сигнатур
• EDR — поведенческое обнаружение, видимость и реагирование

Наиболее эффективны они в сочетании друг с другом как часть стратегии эшелонированной защиты.