EDR (detecção e resposta para endpoints) é uma solução de segurança de endpoint ativa que faz continuamente monitoramento em tempo real, correlacionando diversos eventos que acontecem em nível de endpoint para detectar atividades maliciosas, processos comprometidos e comportamentos suspeitos em dispositivos de usuários finais. Sua finalidade é identificar ataques em andamento, possíveis incidentes, comprometimentos ou violações de segurança – e, então, atuar como um sistema de resposta, oferecendo capacidades para corrigi-los.

As principais capacidades de EDR, como a Gartner as define, são:

• Detectar incidentes de segurança
• Conter o incidente no endpoint
• Investigar incidentes de segurança
• Oferecer orientação para remediação

A estratégia de proteção de endpoints de qualquer empresa que seja um possível alvo de ameaças cibernéticas e/ou que armazene dados valiosos em endpoints deve incluir capacidades avançadas de detecção de ameaças em endpoints e ferramentas de resposta.

Pequenas e médias empresas e organizações de médio porte correm riscos cada vez maiores com ameaças cibernéticas avançadas devido a capacidades internas limitadas e restrições orçamentárias que afetam seu acesso a soluções de segurança de endpoint avançadas, historicamente voltadas para empresas grandes, devido a seus custos e complexidade.

Além disso, para empresas de todos os portes que operam em setores com alto nível de regulação e riscos cibernéticos maiores, como os de finanças, de saúde, jurídico, de varejo on-line, público, a EDR é necessária para que a estratégia de cibersegurança da organização viabilize a conformidade e para assegurar que os dados confidenciais dos endpoints estejam fora do alcance das ameças cibernéticas.

Com o Advanced Security + EDR, você pode assegurar que organizações de vários portes e complexidades sejam protegidas com serviços de alto valor e expansíveis para múltiplos clientes.

As melhores ferramentas e soluções de EDR existentes no mercado são orientadas para corporações por questões de custos e complexidade e exigem equipes de segurança grandes para serem operadas. Além disso, analistas de segurança precisam realizar manualmente atividades de caça a ameaças examinando centenas de linhas de logs, com horas de investigação de atividades suspeitas. Mesmo assim, uma proteção por toda a estrutura NIST, que assegure continuidade de negócios, exige soluções e agentes de software adicionais, o que aumenta a complexidade e a multiplicidade de soluções ainda mais.

O Advanced Security + EDR realiza coleta de dados contínua com base em eventos de segurança relacionados, semelhante a outras ferramentas de EDR, mas a solução simplifica suas capacidades de análise gerando alertas sobre quaisquer possíveis incidentes e agregando dados em interpretações de ataque orientadas, mapeadas de acordo com a estrutura MITRE ATT&CK®. Isso ajuda os analistas de segurança a investigar rapidamente atividades suspeitas em múltiplos clientes, reduzindo a duração da investigação de horas para minutos, proporcionando uma expansibilidade melhor.

Além disso, o Advanced Security + EDR é uma solução de segurança de endpoint integrada no Acronis Cyber Protect Cloud, o que proporciona vantagens exclusivas para os administradores, como resposta com um só clique na estrutura NIST, inclusive recuperação. Isso elimina a multiplicidade de soluções e permite oferecer uma proteção de endpoint abrangente através de um único agente e de um único console da Acronis.

Existem vários tipos de ameaças cibernéticas avançadas capazes de contornar outras camadas de proteção de endpoint, como o software antivírus existente, dos quais alguns dos mais comuns são:

• Ransomware e malware de dia zero – Ransomware e/ou malware que se infiltra em um sistema por meio de uma vulnerabilidade de dia zero (uma vulnerabilidade explorável para a qual o fornecedor do software ainda não distribuiu um patch de correção – tal vulnerabilidade pode ser conhecida ou desconhecida). Pode contornar algumas detecções baseadas em comportamentos.
• Ameaças persistentes avançadas (APTs) – Ataques que usam técnicas de hackeamento contínuas, sofisticadas e altamente evasivas para obter acesso não autorizado ao sistema e permanecer não detectados por um período de tempo prolongado, com consequências potencialmente destrutivas. Estas consistem normalmente em algumas fases, como infiltração de sistema, ampliação e movimentação lateral dentro do sistema e vazamento de dados confidenciais. As ameaças persistentes avançadas costumam depender de técnicas de aproveitamento da funcionalidade existente, ou seja de ferramentas que já se encontram no ambiente atacado – o que torna sua detecção mais difícil ou sua execução consideravelmente mais barata.
• Ataques sem arquivo – O malware sem arquivo é um tipo de software malicioso que utiliza programas legítimos para infectar um computador. Ele não depende de arquivos e não deixa vestígios, o que o torna difícil de detectar e de remediar.
• Hackeamento – Hackeamento é o ato de identificar e, então, explorar vulnerabilidades em um sistema ou rede de computadores, normalmente para obter acesso não autorizado a dados pessoais ou da organização. Dependendo das técnicas utilizadas, o hackeamento pode ser difícil de detectar, pois pode se aproveitar de credenciais roubadas ou outras técnicas que façam parecer um processo perfeitamente normal, até que ocorra um vazamento e seja tarde demais para responder.

A detecção e a resposta a essas e outras ameaças avançadas requer controles de segurança mais avançados, como a EDR.