EPP, EDR ar XDR: kuo skiriasi ir ką rinktis įmonei

Renkantis įmonės kompiuterių ir serverių apsaugą, pasiūlymuose nuolat kartojasi trys santrumpos – EPP, EDR ir XDR. Jos dažnai pateikiamos kaip to paties produkto „gera“, „geresnė“ ir „geriausia“ versija, tačiau iš tikrųjų tai skirtingi požiūriai į saugumą, kuriems reikia skirtingo įmonės pasirengimo. Šiame straipsnyje paaiškiname, ką kiekvienas sprendimas daro, kam jo pakanka ir kaip išvengti dažniausių klaidų perkant.

Straipsnis naudingas ir įmonių IT vadovams, ir IT paslaugų įmonėms, kurios renka apsaugą savo klientams.

EPP – apsauga, kuri sustabdo žinomas grėsmes

EPP (angl. Endpoint Protection Platform) – tai išsivysčiusi klasikinės antivirusinės apsaugos forma. Jos tikslas – neleisti kenkėjiškai programai pasileisti ir padaryti žalos darbo vietoje ar serveryje. Šiuolaikinė EPP paprastai apima:

• Kenkėjiškų programų aptikimą pagal parašus, elgsenos analizę ir debesų reputacijos duomenis.
• Ugniasienę, interneto srauto ir svetainių filtravimą.
• Įrenginių kontrolę, pavyzdžiui, USB atmintinių naudojimo ribojimą.
• Programų kontrolę ir centralizuotą saugumo politikų valdymą iš vienos konsolės.

Gerai sukonfigūruota EPP sustabdo didžiąją dalį kasdienių grėsmių. Tačiau ji atsako tik į klausimą „ar šis failas ar veiksmas kenkėjiškas?“ ir beveik nieko nepasako apie tai, kas vyko prieš incidentą ir po jo.

EDR – matomumas ir reagavimas, kai ataka praslysta

EDR (angl. Endpoint Detection and Response) prevenciją papildo nuolatiniu stebėjimu. Agentas renka įvykių duomenis – procesų paleidimą, tinklo jungtis, failų ir registro pakeitimus – ir ieško atakos požymių, kurie pavieniui atrodo nekaltai. Būtent taip aptinkamos atakos, kuriose apskritai nenaudojamas joks žinomas kenkėjiškas failas.

• Įtartinos veiklos aptikimas, pavyzdžiui, kai piktnaudžiaujama teisėtais sistemos įrankiais ar administratoriaus paskyra.
• Incidento grandinės vaizdas: iš kur ataka prasidėjo, kokius procesus ir įrenginius paveikė.
• Reagavimo veiksmai iš konsolės: įrenginio izoliavimas nuo tinklo, proceso sustabdymas, failo perkėlimas į karantiną.
• Istoriniai duomenys, leidžiantys atlikti tyrimą jau po įvykio.

Svarbiausia EDR savybė, apie kurią retai kalbama pardavimo metu, – jai reikia žmogaus. Įspėjimus kažkas turi peržiūrėti, įvertinti ir priimti sprendimą. Jei įmonėje nėra, kas tai darytų, verta iš karto planuoti valdomą stebėjimo paslaugą (MDR) arba susitarti su IT partneriu, kuris prisiims šią funkciją.

XDR – vienas vaizdas per kelis sluoksnius

XDR (angl. Extended Detection and Response) taiko tą patį principą ne tik darbo vietoms. Į vieną analizę sujungiami duomenys iš galinių įrenginių, el. pašto ir debesų paslaugų, tapatybių valdymo sistemų, kartais ir tinklo. Taip lengviau pastebėti ataką, kuri prasideda sukčiavimo laišku, tęsiasi pavogta paskyra ir baigiasi užšifruotais failais serveryje.

Pavyzdžiui, WithSecure Elements XDR viename Elements Security Center valdymo centre sujungia galinių įrenginių apsaugą su EPP ir EDR galimybėmis, Microsoft 365 el. pašto ir bendradarbiavimo įrankių apsaugą bei Microsoft Entra ID tapatybių stebėseną. Kaspersky Next linijoje XDR lygiui skirtas Kaspersky Next XDR Expert – sprendimas organizacijoms, turinčioms savo saugumo komandą.

Palyginimas: kuo jie skiriasi praktiškai

• Pagrindinis tikslas: EPP – sustabdyti, EDR – aptikti ir ištirti, XDR – susieti įvykius iš kelių sistemų.
• Kas dirba su sprendimu: EPP – IT administratorius retkarčiais, EDR – žmogus, kuris reguliariai peržiūri įspėjimus, XDR – saugumo specialistas arba paslaugos teikėjas.
• Surenkamų duomenų kiekis: EPP – nedidelis, EDR – didelis, XDR – didžiausias.
• Tipinis naudotojas: EPP – mažos įmonės, EDR – vidutinės įmonės ir reguliuojami sektoriai, XDR – didesnės organizacijos ir IT paslaugų teikėjai.

Svarbu suprasti, kad šie lygiai vienas kito nepanaikina. EDR ir XDR sprendimai veikia kartu su prevencine apsauga, o ne vietoj jos.

Kaip pasirinkti: penki klausimai prieš užklausą

1. Kiek ir kokių įrenginių reikia apsaugoti – darbo vietų, serverių, mobiliųjų, kokios operacinės sistemos naudojamos?
2. Ar įmonėje yra žmogus, kuris kasdien peržiūrės saugumo įspėjimus, ar šią funkciją atliks partneris?
3. Ar įmonei taikomi NIS2 ar kiti reikalavimai, pagal kuriuos reikia įrodyti, kad incidentai aptinkami ir tiriami?
4. Kokias debesų paslaugas naudojate – Microsoft 365, Google Workspace ar kitas?
5. Ar svarbu iš tos pačios konsolės valdyti ir pažeidžiamumus, ir programų pataisas?

Daugeliui mažų įmonių pakanka gerai sukonfigūruotos EPP su centralizuotu valdymu. Kai įmonė auga, tvarko jautrius duomenis ar patenka į NIS2 taikymo sritį, EDR tampa logišku kitu žingsniu. XDR verta rinktis tada, kai yra kas jo galimybes realiai išnaudos.

NIS2 direktyva Lietuvoje: ką turi padaryti įmonės

Dažniausios klaidos perkant verslo apsaugą

• Perkama aukščiausia pakopa, nors niekas neturi laiko peržiūrėti įspėjimų. Tada brangus EDR ar XDR veikia kaip įprasta antivirusinė programa.
• Įsigyjama licencija, bet palikti numatytieji nustatymai. Net geriausia EPP be sukonfigūruotų politikų, įrenginių kontrolės ir atnaujinimų neišnaudoja savo galimybių.
• Apsaugomi tik darbuotojų kompiuteriai, o serveriai, virtualios mašinos ir nešiojamieji kompiuteriai lieka nuošalyje.
• Neįvertinamas el. paštas ir debesų paslaugos, nors būtent per jas prasideda didelė dalis atakų.
• Licencijų kiekis skaičiuojamas be atsargos, todėl naujam darbuotojui ar serveriui apsaugos tiesiog nebelieka.

Kokius sprendimus tiekiame partneriams ir įmonėms

Tiekiame kelių gamintojų verslo apsaugos linijas, apimančias visus tris lygius, todėl sprendimą galima parinkti pagal realų poreikį, o ne pagal vieno gamintojo katalogą:

• WithSecure Elements Endpoint Protection, Elements EDR ir Elements XDR.
• Kaspersky Next EDR Foundations, Kaspersky Next EDR Optimum ir Kaspersky Next XDR Expert.
• Bitdefender GravityZone Small Business Security, Business Security ir Business Security Premium.
• AVG Business linija mažoms įmonėms su centralizuotu valdymu.

Verslo licencijų kainą pateikiame pagal užklausą, atsižvelgdami į įrenginių skaičių ir laikotarpį. Licencijos registruojamos įmonės vardu, kiekvienam užsakymui išrašoma PVM sąskaita faktūra, o licencijos raktą atsiunčiame el. paštu.

• Verslo licencijos ir kainos užklausa
• Gamintojai, kurių licencijas tiekiame
• Partnerio paskyra perpardavėjams

Dažniausi klausimai

Ar EDR pakeičia antivirusinę programą?

Ne. EDR papildo prevencinę apsaugą, o ne ją pakeičia. Dauguma šiuolaikinių EDR sprendimų veikia kartu su EPP tame pačiame agente, todėl antros programos diegti nereikia.

Ar mažai įmonei reikia XDR?

Dažniausiai ne. Jei nėra, kas kasdien analizuotų įspėjimus, XDR galimybės liks neišnaudotos. Protingiau pradėti nuo gerai sukonfigūruotos EPP ir prireikus pereiti prie EDR.

Ar galima pradėti nuo EPP ir vėliau pereiti prie EDR?

Taip. Tokiose platformose kaip WithSecure Elements ar Kaspersky Next aukštesnės pakopos valdomos iš to paties valdymo centro, todėl perėjimas paprastai reiškia licencijos pakeitimą, o ne viso sprendimo diegimą iš naujo.

Kiek laiko saugomi EDR surinkti duomenys?

Tai priklauso nuo gamintojo ir pasirinktos licencijos. Tikslų saugojimo laikotarpį nurodome pasiūlyme, kai žinome, kokį sprendimą renkatės.

Išvada

EPP, EDR ir XDR nėra konkuruojančios technologijos – tai laipteliai. Svarbiausia ne įsigyti aukščiausią lygį, o tokį, kurį įmonė realiai naudos ir prižiūrės. Jei abejojate, parašykite mums: pagal įrenginių skaičių ir jūsų situaciją pasiūlysime tinkamą sprendimą.

Susisiekite su mumis