Внедрение EDR на парке рабочих станций: что видит агент, как разбирать срабатывания, как это сказывается на производительности

За последние несколько лет на рынке вырос спрос на внедрение в собственную инфраструктуру EDR. Решения из этого класса усиливают защиту рабочих станций и дают возможность противостоять сложным целевым атакам, количество и интенсивность которых растут из года в год. Однако зачастую после внедрения EDR к решению относятся как к классическому антивирусу – средству защиты, которое можно «установить и забыть». И таким образом компания рискует свести всю пользу от внедрения EDR к нулю.

В статье разбираем, в чем различия между EDR и классическим антивирусом, чем EDR занимается на рабочих станциях, как решения этого класса эффективно использовать для противодействия атакам и как агент EDR влияет на производительность рабочих станций.

EDR — что это и чем отличается от антивируса

EDR (Endpoint Detection and Response) – класс решений, обеспечивающий защиту рабочих станций организации от сложных целевых атак. EDR разделен на агент, который осуществляет сбор данных и реагирование на атаки, и сервер, который управляет агентами и предоставляет сотрудникам отдела ИБ инструменты для проведения расследований причин возникновения инцидентов ИБ.

На практике решения EDR позволяют обнаруживать на рабочих станциях признаки атак на инфраструктуру организации. Например, необычную сетевую активность на рабочей станции, нетипичное использование легитимного ПО, аномальное поведение учетных записей пользователей. Дополнительно EDR-решения предоставляют широкий функционал реагирования на обнаруженные угрозы – от сетевой изоляции устройства до внесения изменений в реестр Windows. Действия выполняются как автоматически, на основе созданных политик безопасности, так и вручную сотрудником отдела ИБ.

Однако перед разбором функций EDR следует разобраться, чем EDR-решения отличаются от классических антивирусов. Антивирус действует практически автономно и обеспечивает защиту рабочих станций от известных и распространенных угроз с помощью анализа хэш-сумм файлов (сигнатурный анализ) и разбора программного кода файлов для выявления вредоносных фрагментов (эвристический анализ). EDR в свою очередь направлен на выявление сложных атак, в связи с чем работает со свойствами файлов и окружением, в которых файлы используются. Также EDR обеспечивает возможность проведения расследований на рабочей станции путем сбора дополнительных данных, запуска анализа по заданным наборам правил или прямого подключения сотрудника отдела ИБ к рабочей станции для выполнения команд. При этом EDR и антивирус не заменяют, а дополняют друг друга: антивирус обнаруживает вредоносное ПО, а EDR замечает вредоносную активность на рабочей станции.

EDR на рабочих станциях — что делает и какие данные собирает

EDR способен выявлять признаки атак и реагировать на них благодаря постоянному сбору данных на защищаемых рабочих станциях – телеметрии. Но что собирает EDR на рабочих станциях? Ответ на этот вопрос отчасти зависит от того, под управлением какой ОС работает агент EDR. Больше всего данных агенты EDR собирают на устройствах с Windows и Linux, на MacOS сбор ограничен в силу закрытости самой ОС.

Если не углубляться в технические подробности работы каждого EDR-решения, представленного на рынке, то собираемые данные можно разделить на несколько категорий.

Службы

В эту категорию входят данные, относящиеся к службам, запущенным на рабочей станции: название службы, события запуска и остановки с датой и инициатором, какие параметры применялись к службе, а также все действия, совершаемые службой на рабочей станции. Такие данные позволяют отслеживать потенциально опасные действия служб. Например, запуск стандартной службы Windows для удаленного подключения из внешней сети может указывать на попытку совершить атаку.

Задачи

К этой категории относятся данные, связанные с выполняемыми на рабочей станции задачами – название задачи, время и инициатор запуска, действия, производимые задачей и список всех затронутых задачей файлов, служб и процессов на рабочей станции. Сбор таких данных позволяет, например, обнаружить попытки злоумышленника закрепиться в ОС путем создания задач автозапуска.

Файлы

Включает в себя данные, связанные с файлами, расположенными на рабочей станции: события создания, изменения или удаления файлов, путь к файлу, его размер и содержимое, а также список пользователей, которые имеют к нему доступ. Эти данные позволяют отслеживать аномальные действия с файлами и их свойствами, например, попытки массового изменения владельцев файлов.

Сетевая активность

К категории сетевой активности относятся данные о всех активных подключениях и открытых портах, а также отправка веб-запросов во внешнюю сеть. Такие данные позволяют отследить путь злоумышленника по инфраструктуре или обнаружить подключения к C&C серверу.

Операционная система

Эта категория включает в себя данные, специфичные для различных семейств ОС. Для Windows – это сбор системных журналов, содержимого реестра и отслеживание его изменения, а также метаданные файловой системы NTFS. Для Linux – это сбор журналов служб, данных о работе systemd и содержимого переменных окружения.

Учетные записи пользователей

Включает в себя данные, связанные с действиями учетных записей пользователей на рабочих станциях, такие как запуск служб, изменение реестра, создание, изменение или удаление файлов. Сбор данных этой категории позволяет отслеживать аномальное поведение учетных записей сотрудников, например, запуск нетипичных служб или доступ к системным файловым каталогам.

Срабатывания EDR — как разбирать и реагировать

Перед тем как отправиться на управляющий сервер, данные обрабатываются наборами правил, заложенными в агент, которые позволяют обнаружить среди собранных данных событие или инцидент ИБ. Именно в этот момент проявляется главный недостаток подхода к EDR как к решению, которое можно «поставить и забыть» – без настройки правил управляющий сервер получает либо слишком много событий, либо наоборот, слишком мало. В первом случае сотрудники отдела ИБ «завязнут» в разборе ложноположительных срабатываний, а во втором – рискуют не заметить реальный инцидент.

Для эффективного использования EDR требуется провести тонкую настройку его правил, в частности, наборов YARA-правил и индикаторов атак/компрометации (IoA/IoC), учитывающих специфику внутренней инфраструктуры. При этом на первоначальной подготовке наборов правил настройка EDR не заканчивается. Написанные правила нуждаются в постоянном обновлении со стороны специалистов, что нередко вынуждает компании, заинтересованные в использовании EDR, либо выделять отдельного специалиста для администрирования решения, либо передавать EDR в SOC.

Обработанные данные на сервере EDR отображаются в виде событий, для каждого из которых указана его критичность, затронутые рабочие станции, тип события, его детали и предпринимались ли по его поводу какие-либо действия. Некоторые решения также отображают для инцидентов ИБ тактики и техники по матрице MITRE ATT&CK.

Реагирование подразумевает запуск задач на агенте EDR. Задачи разделяются на действия сбора дополнительных данных и действия непосредственно реагирования, которые уже являются активным противодействием активности злоумышленников. Набор таких действий варьируется от решения к решению и от типа ОС, на которой работает агент, но в большинстве случаев можно встретить следующие типы:

• сетевая изоляция;

• завершение процесса;

• остановка/запуск службы;

• удаление файла или помещение в карантин;

• удаленное подключение к рабочей станции.

Для эффективного реагирования на инциденты ИБ и снижения времени реакции на большинство событий со стороны сотрудников отдела ИБ необходимо разработать плейбук – документ, содержащий наборы сценариев, согласно которым сотрудник применяет определенную последовательность действий к тому или иному инциденту. В случае, когда плейбук отсутствует или в нем не описана возникшая на рабочей станции ситуация, специалист применяет действия, исходя из собственной экспертизы. Это часто приводит к довольно неочевидной ошибке – слишком «радикальному» реагированию на атаки. «Радикализм» при реагировании в данном случае подразумевает отсутствие сбора дополнительной информации о произошедшем событии и применение только тех действий, которые позволят быстрее всего устранить последствия инцидента. Например, при подозрительной активности полностью удалить исполняемый файл вместо его помещения в карантин или моментально изолировать рабочую станцию с аномальной сетевой активностью без сбора дополнительных данных о сети.

Такой подход не позволит отследить источник появления инцидента. Откуда появился подозрительный файл? Как злоумышленник получил доступ к рабочей станции? Поэтому во время устранения последствий инцидента ИБ сотрудникам необходимо собрать дополнительную информацию о событии для последующего анализа и выявления причин возникновения инцидента ИБ.

Не трудно заметить, что агент EDR выполняет довольно широкий спектр функций и может создать впечатление, будто EDR довольно требователен к ресурсам рабочих станций. На практике агенты EDR оказывают нагрузку, примерно сопоставимую с антивирусными решениями, т.е. несущественно нагружают рабочую станцию даже при продолжительном сборе нескольких категорий данных.

Таким образом, EDR кратно усиливает защиту рабочих станций за счет широкого набора собираемых данных, гибкой настройки правил и разнообразия действий реагирования. Это позволяет эффективно противодействовать атакам и проводить расследования инцидентов ИБ, однако специалистам организации в свою очередь требуется обеспечить постоянный мониторинг EDR, а также периодическое обновление наборов правил решения, что требует либо выделения отдельного специалиста исключительно для EDR, либо передачи администрирования решения в SOC. Такие условия по эффективному использованию данного класса решений смогут обеспечить либо крупные организации, либо компании с развитой ИТ- и ИБ-инфраструктурой, своим SOC или договором со сторонним центром реагирования.

Автор: Артем Мартынов, ведущий системный инженер