تصور کنید یک فایل مخرب وارد سیستم کاربر میشود و راهکار امنیتی آن را پیش از اجرا مسدود میکند. این نمونهای از عملکرد EPP است. حالا فرض کنید مهاجم بدون استفاده از بدافزار شناختهشده، از PowerShell و حساب معتبر کاربر برای جمعآوری اطلاعات استفاده کند. شناسایی چنین رفتاری به دید و قابلیتهای تحلیلی EDR نیاز دارد.
EPP و EDR هر دو از Endpointها محافظت میکنند؛ اما وظایف یکسانی ندارند. Endpoint به هر سیستم متصل به شبکه مانند لپتاپ، سیستم رومیزی، سرور یا بار کاری مجازی گفته میشود. EPP لایه اصلی پیشگیری را ایجاد میکند و EDR امکان شناسایی، بررسی و مهار رخدادهای پیچیده را در اختیار تیم امنیت قرار میدهد. بنابراین، تفاوت EPP با EDR را نباید به مقایسه یک آنتیویروس ساده با یک ابزار پیشرفته محدود کرد. این دو راهکار بخشهای متفاوتی از چرخه حفاظت از Endpoint را پوشش میدهند و در بسیاری از سازمانها باید در کنار یکدیگر قرار بگیرند.
EPP چیست و چگونه از Endpoint محافظت میکند؟
EPP مخفف Endpoint Protection Platform بهمعنای پلتفرم حفاظت از Endpoint است. این راهکار مجموعهای از قابلیتهای امنیتی را برای محافظت از سیستمهای کاربران، سرورها و بارهای کاری فراهم میکند. آنتیویروسهای سنتی بیشتر فایلها را بر اساس امضاهای شناختهشده بررسی میکنند. EPPهای جدید علاوه بر این روش، از تحلیل رفتاری، یادگیری ماشین و مقابله با Exploit استفاده میکنند. Exploit کد یا روشی است که مهاجم برای سوءاستفاده از یک آسیبپذیری بهکار میگیرد.
قابلیتهای EPP بسته به محصول متفاوتاند؛ اما معمولاً موارد زیر را شامل میشوند:
- شناسایی و مسدودکردن بدافزار
- محافظت در برابر باجافزار
- تحلیل رفتار فایلها و فرایندها
- جلوگیری از سوءاستفاده از آسیبپذیریها
- کنترل برنامهها، وب و دستگاههای جانبی
- فایروال و کنترل ارتباطات شبکه
- مدیریت متمرکز سیاستهای امنیتی
- حذف یا قرنطینه فایلهای مخرب
EPP تلاش میکند تهدید را پیش از ایجاد آسیب یا در مراحل ابتدایی فعالیت متوقف کند. برای مثال، اگر کاربر یک پیوست آلوده را باز کند، EPP میتواند فایل یا رفتار مخرب آن را شناسایی و مسدود کند. بااینحال، مهاجمان همیشه از فایل مخرب شناختهشده استفاده نمیکنند. آنها ممکن است با حساب معتبر، ابزارهای قانونی سیستم یا روشهای بدون فایل فعالیت کنند. شناسایی این حملات به اطلاعات بیشتری از رفتار سیستم نیاز دارد.
EDR چیست و چه نقشی در شناسایی تهدیدات دارد؟
EDR یا Endpoint Detection and Response راهکاری برای ثبت، تحلیل و پاسخ به فعالیتهای مشکوک در Endpointها است. این راهکار با جمعآوری Telemetry مانند اجرای فرایندها، تغییر فایلها، ارتباطات شبکه و فعالیت کاربران، رویدادهای مرتبط را کنار هم قرار میدهد تا مسیر احتمالی حمله را شناسایی کند.
قابلیتهایی مانند تحلیل رفتار، جستوجوی IoC، Threat Hunting، بررسی زنجیره حمله و اقداماتی مانند جداسازی Endpoint یا قرنطینه فایل، به تیم امنیت کمک میکنند تهدیدات را سریعتر بررسی و کنترل کند. برای آشنایی کاملتر با مفهوم، اجزا و نحوه عملکرد این راهکار میتوانید مقاله «EDR چگونه تهدیدهای Endpoint را شناسایی میکند؟» را مطالعه کنید.
تفاوت EPP و EDR چیست؟
EPP بیشتر بر جلوگیری از ایجاد آلودگی و مسدودکردن فعالیت مخرب تمرکز دارد. EDR دید عمیقتری از فعالیت Endpointها فراهم میکند تا سازمان بتواند حملات پنهان یا چندمرحلهای را شناسایی و بررسی کند.
| معیار مقایسه | EPP | EDR |
|---|---|---|
| هدف اصلی | پیشگیری و مسدودسازی تهدید | شناسایی، بررسی و پاسخ به رخداد |
| زمان عملکرد | پیشگیری پیش از اجرا و مسدودسازی هنگام فعالیت | کنترل مداوم فعالیت پیش، هنگام و پس از اجرا |
| داده مورد بررسی | فایلها، فرایندها، رفتارها و سیاستهای امنیتی | Telemetry، سابقه رویدادها و ارتباط میان فعالیتها |
| تمرکز اصلی | بدافزارها، Exploitها و تهدیدهای رایج | حملات پنهان، بدون فایل و چندمرحلهای |
| نوع عملکرد | بیشتر خودکار و مبتنی بر سیاست | خودکار، هدایتشده یا وابسته به تحلیلگر |
| نوع واکنش | مسدودسازی، حذف یا قرنطینه تهدید | جداسازی سیستم، توقف فرایند و بررسی رخداد |
| جایگاه امنیتی | ایجاد لایه پایه حفاظت از Endpoint | ایجاد دید عمیق و پشتیبانی از بررسی رخداد |
این مرزبندی در تمام محصولات یکسان نیست. برخی شرکتها EDR را بخشی از پلتفرم EPP ارائه میکنند و برخی آن را بهصورت راهکاری جداگانه در اختیار سازمان قرار میدهند. بنابراین، هنگام مقایسه محصولات باید قابلیتهای واقعی آنها را بررسی کرد و فقط به نام دسته محصول تکیه نکرد.
EPP و EDR با چه نوع تهدیداتی مقابله میکنند؟
EPP میتواند بدافزارهای شناختهشده و ناشناخته، پیوستهای آلوده، وبسایتهای مخرب، Exploitها و بسیاری از حملات باجافزاری را شناسایی و مسدود کند.
EDR زمانی ارزش بیشتری ایجاد میکند که شناسایی حمله به بررسی چند رفتار مرتبط نیاز داشته باشد. نمونههای این حملات عبارتاند از:
- حملات بدون فایل
- سوءاستفاده از PowerShell و ابزارهای قانونی
- حرکت جانبی میان سیستمها
- سرقت اطلاعات ورود کاربران
- افزایش غیرمجاز سطح دسترسی
- فعالیت مهاجم با حساب معتبر
- حملات هدفمند و چندمرحلهای
- تلاش برای غیرفعالکردن ابزار امنیتی
برای مثال، اجرای PowerShell بهتنهایی رفتار مخربی نیست. مدیران سیستم نیز از این ابزار استفاده میکنند. بااینحال، اجرای PowerShell با دستور رمزگذاریشده بلافاصله پس از بازشدن یک فایل و برقراری ارتباط با مقصد ناشناس، به بررسی بیشتری نیاز دارد. این تقسیمبندی مطلق نیست. یک EPP پیشرفته میتواند بخشی از رفتارهای مشکوک را بهصورت خودکار مسدود کند و EDR نیز میتواند واکنش خودکار انجام دهد. تفاوت اصلی در میزان دید، سابقه رویدادها و امکان بررسی زنجیره حمله است.
آیا سازمان به EPP نیاز دارد یا EDR؟
EPP پایه حفاظت از Endpoint است و تقریباً تمام سازمانها به آن نیاز دارند. سطح موردنیاز EDR به نوع اطلاعات، پیچیدگی زیرساخت، سطح ریسک و توان تیم امنیت بستگی دارد.
سازمان باید پیش از انتخاب راهکار به پرسشهای زیر پاسخ دهد:
- چه تعداد Endpoint، سرور و بار کاری باید محافظت شوند؟
- این سیستمها به چه اطلاعات و سرویسهایی دسترسی دارند؟
- آیا سازمان در معرض باجافزار یا حملات هدفمند قرار دارد؟
- آیا تیم امنیت توانایی بررسی هشدارها را دارد؟
- سازمان به چه مدت نگهداری Telemetry نیاز دارد؟
- آیا Threat Hunting و بررسی علت اصلی رخداد ضروری است؟
- چه الزامات قانونی یا قراردادی برای ثبت رویدادها وجود دارد؟
انتخاب مناسب را میتوان بر اساس شرایط سازمان مشخص کرد:
| شرایط سازمان | پیشنهاد قابلبررسی |
| زیرساخت محدود و ریسک معمول | EPP همراه با قابلیتهای پایه EDR |
| تیم کوچک و نیاز به مقابله سریع با باجافزار | EPP و EDR یکپارچه با پاسخ خودکار |
| زیرساخت حساس و تیم امنیت تخصصی | EPP همراه با EDR پیشرفته |
| نبود نیروی کافی برای بررسی شبانهروزی هشدارها | EPP و EDR همراه با خدمات MDR |
MDR یا Managed Detection and Response خدمتی است که در آن کارشناسان بیرونی، شناسایی و پاسخ به تهدیدها را بهصورت مدیریتشده انجام میدهند. این مدل برای سازمانی مناسب است که به قابلیتهای EDR نیاز دارد؛ اما نیروی کافی برای کنترل مداوم هشدارها در اختیار ندارد.
آیا EPP و EDR میتوانند در کنار هم استفاده شوند؟
بله. استفاده همزمان از EPP و EDR در بیشتر سازمانها حفاظت کاملتری ایجاد میکند. EPP تهدیدهای رایج را بهصورت خودکار مسدود میکند و EDR امکان بررسی رفتارهای مشکوک و رخدادهای پیچیده را فراهم میسازد.
این همکاری سه مرحله اصلی دارد:
- پیشگیری: EPP فایل یا فعالیت مخرب را پیش از ایجاد آسیب مسدود میکند.
- شناسایی و بررسی: EDR رویدادهای Endpoint را مرتبط میکند و مسیر حمله را نشان میدهد.
- پاسخ: تیم امنیت یا فرایند خودکار، سیستم آلوده را جدا و فعالیت مخرب را متوقف میکند.
یکپارچگی این دو راهکار میتواند تعداد ایجنتها، پیچیدگی مدیریت و زمان بررسی هشدارها را کاهش دهد. بااینحال، سازمان باید پوشش سیستمعاملها، کیفیت Telemetry، مصرف منابع، مدت نگهداری دادهها و قابلیت اتصال به SIEM را بررسی کند. SIEM اطلاعات و رویدادهای امنیتی را از منابع مختلف جمعآوری و تحلیل میکند. اتصال EDR به SIEM میتواند دید تیم امنیت را از Endpointها به سایر بخشهای زیرساخت گسترش دهد.
راهکارهای Kaspersky Next سطوح مختلفی از حفاظت Endpoint و قابلیتهای EDR را ارائه میکنند. سازمانها میتوانند Kaspersky Next EDR Foundations، Kaspersky Next EDR Optimum یا Kaspersky Next EDR Expert را بر اساس سطح ریسک و نیازهای عملیاتی بررسی کنند. قابلیتها، شرایط مجوز و تناسب هر سطح باید پیش از انتخاب نهایی ارزیابی شوند. سازمان بهتر است پیش از استقرار گسترده، راهکار را روی گروه محدودی از Endpointها آزمایش کند. این اجرای آزمایشی یا Pilot به تیم امنیت کمک میکند کیفیت هشدارها، مصرف منابع، سازگاری با سیستمها و فرایند پاسخ را بسنجد.
جمعبندی
EPP و EDR جایگزین یکدیگر نیستند. EPP لایه اصلی پیشگیری را ایجاد میکند و EDR دید لازم برای شناسایی، بررسی و مهار رخدادهای پیچیده را در اختیار سازمان قرار میدهد. انتخاب درست باید بر اساس تعداد و نوع Endpointها، سطح ریسک، توان تیم امنیت و نیاز سازمان به بررسی رخداد انجام شود. خرید یک EDR پیشرفته بدون نیروی متخصص یا فرایند پاسخ مشخص، لزوماً امنیت بیشتری ایجاد نمیکند.
کارشناسان راد سکیور میتوانند با بررسی زیرساخت، سطح ریسک و ظرفیت تیم امنیت، شکافهای حفاظتی را مشخص و ترکیب مناسب EPP و EDR را پیشنهاد کنند. این ارزیابی به سازمان کمک میکند پیش از انتخاب راهکار، قابلیتهای موردنیاز و الزامات استقرار را بشناسد.
تیم محتوای رادسکیور
تیم محتوای رادسکیور متشکل از کارشناسان امنیت اطلاعات و شبکه است که با تکیه بر تجربه عملی، محتوای تخصصی و کاربردی در حوزه امنیت سایبری، آنتیویروس، حفاظت از داده و تهدیدات دیجیتال تولید میکند. هدف این تیم، افزایش آگاهی کاربران و کمک به انتخاب هوشمندانه راهکارهای امنیتی است
