# Как провести пилот EDR

> Пилот EDR должен отвечать на вопрос, сможет ли команда быстрее обнаруживать, объяснять и локализовать инциденты. Простая установка агентов без сценариев проверки показывает только техническую совместимость.

## Сформулируйте цели

- Выберите типовые угрозы и пробелы текущего расследования.
- Определите показатели времени обнаружения, анализа и реагирования.
- Назначьте аналитиков и владельцев решений по изоляции.

## Выберите контур

- Включите рабочие станции, серверы и разные подразделения.
- Проверьте удаленные устройства и сегменты с ограниченной связью.
- Не проводите опасные проверки на критичных системах без согласованной методики.

## Проверьте рабочие сценарии

- Восстановите цепочку события от первоначального действия до последствий.
- Выполните поиск связанных индикаторов по другим узлам.
- Проверьте изоляцию, карантин и другие доступные действия реагирования.

## Оцените эксплуатацию

- Измерьте объем и качество телеметрии.
- Оцените требования к квалификации и времени аналитиков.
- Зафиксируйте интеграции, регламенты и ресурсы для промышленной эксплуатации.

## Частые вопросы

### Сколько длится пилот?

Он должен охватить установку, накопление телеметрии и несколько проверяемых сценариев. Формальный короткий тест часто не показывает эксплуатационную нагрузку.

### Нужно ли подключать SOC?

В пилоте должны участвовать люди, которые будут анализировать события и принимать решения после внедрения.

## Связанные материалы

- [EDR-решения](/catalog.html?q=EDR)
- [Endpoint, EDR или XDR](/knowledge/edr-xdr-ili-endpoint-zashchita.html)

## Источники

- [Kaspersky Enterprise Security](https://www.kaspersky.ru/enterprise-security)