EDR-functionaliteiten

Endpoint Detection and Response (EDR) biedt de volgende functies:

Meldingen over beveiligingsinbreuken

EDR biedt waarschuwingsmeldingen wanneer er zich een incident voordoet. Deze waarschuwingen worden gemarkeerd in het hoofdmenu van de Cyber Protect console. U kunt een waarschuwing vervolgens onderzoeken door te klikken op de knop Incident onderzoeken. U wordt dan omgeleid naar het scherm voor het onderzoeken van incidenten (ook bekend als de cyber kill chain).

Zie Incidenten in de incidentlijst bekijken voor meer informatie.

Incidentbeheer

Met EDR kunt u al uw incidenten beheren op de pagina Incidenten (toegankelijk via het menu Bescherming in de Cyber Protect console). Op de pagina Incidenten, die kan worden gefilterd op basis van uw vereisten, kunt u snel en eenvoudig de huidige status van uw incidenten nagaan, inclusief de ernst, de betreffende workload en het positiviteitsniveau. U kunt ook rechtstreeks naar de cyber kill chain navigeren om de verhaallijn van de aanval per knooppunt te bekijken.

Zie Incidenten in de incidentlijst bekijken voor meer informatie over de pagina Incidenten.

Visuele aanvalstijdlijn

EDR biedt een visuele weergave van een aanval in een gemakkelijk leesbare indeling. Zo kunnen ook medewerkers die niet zijn gespecialiseerd in beveiliging, inzicht krijgen in de doelen en ernst van elke aanval. U hoeft geen Security Operation Center (SOC)-service te hebben of beveiligingsexperts in te huren, want EDR beschrijft precies hoe een aanval plaatsvond, met informatie over:

  • Hoe de aanvaller kon binnendringen
  • Hoe de aanvaller de eigen sporen heeft verborgen
  • Wat voor schade er is aangericht
  • Hoe de aanvaller werd verspreid

Zie Incidenten in de cyber kill chain onderzoeken voor meer informatie.

Begeleide herstelacties

EDR biedt duidelijke en eenvoudig te implementeren aanbevelingen voor het oplossen van aanvallen op een workload. Als u een aanval snel wilt oplossen, klikt u op de knop Het hele incident verhelpen. Bekijk en volg de aanbevolen stappen om het incident te verhelpen. Met deze aanbevolen stappen kunt u de door een aanval getroffen bewerkingen snel hervatten. Als u echter meer gedetailleerde stappen voor herstel wilt uitvoeren, kunt u naar elk knooppunt navigeren en daar de relevante actie uitvoeren.

U kunt ook op Copilot klikken om de chat met Acronis AI te openen, meerdere verzoeken in te voeren en voorgestelde acties te ontvangen voor het geselecteerde incident.

Zie Incidenten verhelpen voor meer informatie.

Verzameling van forensics-artefacten

Met EDR kunt u daadwerkelijke schadelijke bestandssamples rechtstreeks van eindpunten verzamelen en deze centraal opslaan in een beveiligde cloudrepository met de naam Forensische Artefacten. Wanneer u incidenten onderzoekt, verzamelt u bestanden uit de cyber kill chain om een diepere analyse uit te voeren, deze naar sandboxservices te verzenden of ze op te slaan voor dreigingsonderzoek. Verzamelde bestanden zijn:

  • Verpakt als met wachtwoord beveiligde versleutelde archieven voor beveiliging
  • Opgeslagen met volledige metadata (hash, pad, host, tijdstempel van verzameling en informatie over de aanvrager)
  • Beschermd door op rollen gebaseerde toegangscontrole, zodat alleen geautoriseerde analisten er toegang toe hebben
  • 180 dagen bewaard en daarna automatisch verwijderd om opslag te beheren en te voldoen aan beleid voor gegevensbewaring
  • Volledig gecontroleerd, waarbij alle toegang voor nalevingsdoeleinden in het logboek wordt vastgelegd

Zie Forensische Artefacten: Bestanden verzamelen van eindpunten voor meer informatie.

Integratie van dreigingsinformatie

EDR biedt de mogelijkheid om bestaande, bekende aanvallen in bedreigingsfeeds voor uw workloads te bekijken. Deze bedreigingsfeeds worden automatisch gegenereerd op basis van bedreigingsgegevens die zijn ontvangen van het Cyber Protection Operations Center (CPOC). Met EDR kunt u nagaan of een bedreiging al dan niet uw workload beïnvloedt, en vervolgens de nodige stappen ondernemen om de bedreiging ongedaan te maken.

Zie Controleren op inbreukindicatoren (IOC's) in openbaar bekende aanvallen op uw workloads voor meer informatie.

Beschermingsdashboard

EDR biedt een reeks statistieken in het dashboard van de Cyber Protect console. U kunt de volgende gegevens bekijken:

  • De huidige status van bedreigingen, met nadruk op incidenten die moeten worden onderzocht.
  • De voortgang van aanvallen naar ernstgraad, met aanwijzingen voor mogelijke aanvalscampagnes.
  • De efficiëntiegraad voor het afhandelen van incidenten.
  • De meest specifiek op uw klanten gerichte aanvalstactieken.
  • De netwerkstatus van de workload: of deze geïsoleerd of verbonden is.

Uitgebreide controlere van gebeurtenissen

Op Windows en Linux machines kan EDR continu gebeurtenisgegevens verzamelen, zelfs wanneer er geen specifieke detecties zijn.

Uitgebreide monitoring verbruikt extra CPU-resources op de beveiligde workload, daarom raden we aan om na het inschakelen van deze functionaliteit de systeemprestaties te controleren. Afhankelijk van het aantal verzamelde events kan ook het bandbreedtegebruik voor de communicatie met het datacenter toenemen.

Gebeurtenisopslag en bewaring

EDR verzamelt gebeurtenissen met betrekking tot de werklast en applicaties die verband houden met incidenten en bewaart deze gedurende 180 dagen. Gebeurtenissen die ouder zijn dan 180 dagen worden verwijderd (het verwijderen van gebeurtenissen is gebaseerd op de ouderdom ervan, en niet op de beschikbare opslagruimte). Houd er rekening mee dat, zelfs wanneer EDR is uitgeschakeld, alle eerder verzamelde gebeurtenissen voor een incident worden bewaard en beschikbaar blijven in het scherm voor incidentonderzoek.