EDR

EDR står for Endpoint Detection and Response og er en sikkerhedsteknologi, der overvåger endpoints for mistænkelig aktivitet. Formålet er at opdage, undersøge og reagere på trusler på computere, servere og andre enheder, før angreb udvikler sig til større sikkerhedshændelser.

Hvorfor er begrebet vigtigt?

EDR er vigtigt, fordi moderne angreb ofte ikke stoppes af traditionel antivirus alene. En angriber kan bruge legitime værktøjer, stjålne konti eller teknikker, der ikke nødvendigvis ligner en klassisk virus.

Med EDR kan virksomheden få bedre indsigt i, hvad der sker på enhederne. Det gør det muligt at opdage unormal adfærd, isolere kompromitterede enheder, undersøge hændelser og reagere hurtigere på angreb.

Typisk misforståelse

Den mest almindelige fejl er at tro, at EDR bare er et andet ord for antivirus. Antivirus forsøger typisk at stoppe kendte trusler, mens EDR også handler om overvågning, adfærdsanalyse, hændelsesundersøgelse og respons.

Eksempel

En medarbejders computer begynder pludselig at oprette usædvanlige processer og kontakte mistænkelige adresser. En EDR-løsning kan opdage aktiviteten, advare IT og i nogle tilfælde isolere enheden fra netværket, mens hændelsen undersøges.

Best practice

• Brug EDR på kritiske endpoints og servere.

• Sørg for at alarmer bliver overvåget og håndteret.

• Kombinér EDR med MFA, patch management og adgangsstyring.

• Test responsprocesser, så alarmer ikke kun bliver registreret.

• Dokumentér hvem der undersøger og eskalerer sikkerhedshændelser.