EDR (Endpoint Detection and Response) nədir?

EDR (Endpoint Detection and Response — son nöqtələrdə aşkarlama və cavab) — son istifadəçi cihazlarında (endpoint-lərdə) baş verən təhlükəsizlik hadisələrini aşkarlamaq, təhlil etmək və onlara operativ cavab vermək üçün nəzərdə tutulmuş müasir təhlükəsizlik həllidir. Endpoint-lərə kompüterlər, noutbuklar, serverlər, smartfonlar və şəbəkəyə qoşulan digər cihazlar aiddir.

Sadə desək: antivirus binanın girişindəki mühafizəçiyə bənzəyir — yalnız “axtarışda olan” tanış simaları yoxlayır. EDR isə binanın hər yerindəki kameralar sisteminə və təcrübəli təhlükəsizlik komandasına bənzəyir: kimin içəridə nə etdiyini daim izləyir və şübhəli davranışı dərhal hiss edir.

EDR və ənənəvi antivirus

Ənənəvi antiviruslar əsasən imza əsaslı aşkarlamadan istifadə edir, yəni yalnız əvvəlcədən tanınan zərərli proqramları (malware) tapır. EDR isə davranış təhlili, proses monitorinqi və real vaxtda toplanan məlumatlar (telemetriya) vasitəsilə hələ heç kimə məlum olmayan mürəkkəb hücumları da aşkarlaya bilir.

Ənənəvi antivirus EDR Aşkarlama üsulu Məlum imzalar Davranış təhlili, maşın öyrənməsi Yeni (zero-day) hücumlar Çox vaxt görmür Şübhəli davranışa görə aşkarlaya bilir Cavab Faylı silmək və ya karantinə almaq Prosesi dayandırmaq, cihazı şəbəkədən təcrid etmək Hadisədən sonra təhlil MəhdudHücumun tam xronologiyası

EDR-in əsas xüsusiyyətləri

• Davamlı monitorinq: Cihazdakı proseslər, fayl dəyişiklikləri, sistem reyestri (registry) əməliyyatları və şəbəkə bağlantıları daim izlənilir.
• Davranış əsaslı aşkarlama: Şübhəli fəaliyyət modellərini müəyyən edir və zero-day hücumlarını aşkarlaya bilir.
• Real vaxtda cavab: Zərərli prosesi dayandırmaq, faylı karantinə almaq və ya cihazı şəbəkədən təcrid etmək imkanı verir.
• Rəqəmsal kriminalistika (forensika): Hadisədən sonra təhlil üçün ətraflı jurnallar və telemetriya təqdim edir — hücumçunun hansı addımları atdığını addım-addım bərpa etmək olur.
• Mərkəzləşdirilmiş idarəetmə: Təhlükəsizlik əməliyyatları mərkəzinin (SOC) komandası bütün cihazları vahid platformadan idarə edir.

EDR necə işləyir?

1. Hər cihaza kiçik proqram — agent — quraşdırılır.
2. Agent sistem fəaliyyətini daim toplayır və mərkəzi platformaya göndərir.
3. Platforma məlumatları qaydalar, davranış modelləri və maşın öyrənməsi üsulları ilə təhlil edir.
4. Şübhəli fəaliyyət aşkarlandıqda xəbərdarlıq göndərilir və ya avtomatik cavab tədbiri görülür.

EDR agentləri sistemi dərindən izləmək üçün çox vaxt əməliyyat sisteminin nüvəsi (kernel) səviyyəsində işləyən drayverlərdən istifadə edir. Bu, onlara böyük imkanlar verir, amma eyni zamanda risk də yaradır. 2024-cü ilin iyulunda məşhur EDR həlli olan CrowdStrike Falcon-a gələn uğursuz yeniləmə dünyada milyonlarla Windows kompüterinin çökməsinə və tarixin ən böyük downtime hadisələrindən birinə səbəb oldu.

EDR hansı hallarda istifadə olunur?

• Fidyə proqramı (ransomware) hücumlarını aşkarlamaq və bloklamaq — məsələn, faylların kütləvi şəkildə şifrələnməyə başladığını görəndə prosesi dərhal dayandırmaq;
• hücumçunun şəbəkə daxilində bir cihazdan digərinə keçməsini (lateral movement) aşkarlamaq;
• səlahiyyətlərin qanunsuz artırılması (privilege escalation) cəhdlərini müəyyən etmək;
• cihazlar səviyyəsində davamlı təhlükəsizlik nəzarəti aparmaq;
• SOC komandasının işini gücləndirmək və Blue Team mütəxəssislərinə hücumları araşdırmaqda kömək etmək.

EDR, XDR və MDR

• EDR — yalnız endpoint-ləri qoruyur.
• XDR (Extended Detection and Response) — EDR-in genişləndirilmiş formasıdır: endpoint-lərlə yanaşı şəbəkədən, e-poçtdan və bulud xidmətlərindən gələn məlumatları da birlikdə təhlil edir.
• MDR (Managed Detection and Response) — xidmət modelidir: şirkət EDR/XDR sistemlərini öz komandası əvəzinə kənar mütəxəssislərə — 24/7 işləyən təhlükəsizlik provayderinə — idarə etdirir.

Məşhur EDR həllərinə Microsoft Defender for Endpoint, CrowdStrike Falcon və SentinelOne aiddir.

EDR-in üstünlükləri

• Hücumların erkən mərhələdə aşkarlanması;
• cihazlarda baş verənlərin dərin görünürlüyü (visibility);
• avtomatlaşdırılmış insident cavabı;
• insidentlərin sürətli araşdırılması və yayılmasının qarşısının alınması (containment).

Nəticə

Müasir təhlükəsizlik arxitekturasında EDR firewall, IDS/IPS və SIEM sistemləri ilə birlikdə çoxqatlı müdafiə modelinin əsas elementlərindən biridir. Firewall şəbəkənin “darvazasını” qoruyursa, EDR hər bir cihazın “içini” izləyir.

İstəyirsiniz ki, bu biliyi praktikaya keçirib real nəticələr əldə edəsiniz? Kibertəhlükəsizlik kursumuzla addım-addım öyrənməyə başlayın. Ətraflı məlumat üçün linkə keçid edin: Kibertəhlükəsizlik kursu