EDR-пилот
Как провести пилот EDR
Пилот EDR должен отвечать на вопрос, сможет ли команда быстрее обнаруживать, объяснять и локализовать инциденты. Простая установка агентов без сценариев проверки показывает только техническую совместимость.
Сформулируйте цели
- Выберите типовые угрозы и пробелы текущего расследования.
- Определите показатели времени обнаружения, анализа и реагирования.
- Назначьте аналитиков и владельцев решений по изоляции.
Выберите контур
- Включите рабочие станции, серверы и разные подразделения.
- Проверьте удаленные устройства и сегменты с ограниченной связью.
- Не проводите опасные проверки на критичных системах без согласованной методики.
Проверьте рабочие сценарии
- Восстановите цепочку события от первоначального действия до последствий.
- Выполните поиск связанных индикаторов по другим узлам.
- Проверьте изоляцию, карантин и другие доступные действия реагирования.
Оцените эксплуатацию
- Измерьте объем и качество телеметрии.
- Оцените требования к квалификации и времени аналитиков.
- Зафиксируйте интеграции, регламенты и ресурсы для промышленной эксплуатации.
Ответы
Частые вопросы
Сколько длится пилот?
Он должен охватить установку, накопление телеметрии и несколько проверяемых сценариев. Формальный короткий тест часто не показывает эксплуатационную нагрузку.
Нужно ли подключать SOC?
В пилоте должны участвовать люди, которые будут анализировать события и принимать решения после внедрения.