Endpoint Detection & Response
Bitdefender EDR — widoczność i reakcja na zagrożenia
EDR (Endpoint Detection & Response) to warstwa bezpieczeństwa wykraczająca poza klasyczny antywirus. Rejestruje telemetrię z każdego endpointu — procesy, połączenia sieciowe, operacje na plikach, zmiany rejestru — i koreluje ją w celu wykrycia zaawansowanych ataków, które omijają EPP.
W środowisku medycznym EDR jest szczególnie istotny: ataki ransomware na kliniki często trwają dni lub tygodnie, zanim zaszyfrują dane. EDR wykrywa wczesne etapy ataku — rekonesans, ruch boczny, eskalację uprawnień — zanim dojdzie do nieodwracalnych skutków.
Aktualizacja: · Opracowanie: zespół ITdlaLekarzy
Jak działa
Czym jest EDR i jak działa?
EPP (antywirus) blokuje znane zagrożenia przy wejściu. EDR zakłada, że część zagrożeń przejdzie przez EPP — i rejestruje wszystko, co dzieje się na endpoincie, aby wykryć atak w trakcie jego trwania.
Agent EDR zbiera telemetrię: każdy uruchomiony proces, każde połączenie sieciowe, każda operacja na pliku, każda zmiana w rejestrze. Te dane trafiają do silnika analitycznego, który szuka wzorców charakterystycznych dla technik ataku opisanych we frameworku MITRE ATT&CK.
Gdy silnik wykryje podejrzaną sekwencję zdarzeń — np. PowerShell uruchamiający zakodowany skrypt, który następnie nawiązuje połączenie z zewnętrznym IP i modyfikuje klucze rejestru — tworzy alert z pełnym drzewem procesu i kontekstem ataku.
- Telemetria
- Strumień danych o zdarzeniach na endpoincie: procesy, sieć, pliki, rejestr, logowanie. Podstawa analizy EDR.
- LOTL (Living off the Land)
- Technika ataku używająca wbudowanych narzędzi systemu (PowerShell, WMI, certutil) zamiast malware.
- Ruch boczny (lateral movement)
- Przemieszczanie się atakującego po sieci wewnętrznej po uzyskaniu pierwszego przyczółka.
- Threat hunting
- Proaktywne przeszukiwanie telemetrii w poszukiwaniu ukrytych zagrożeń, które nie wygenerowały alertów.
- MITRE ATT&CK
- Framework taktyk i technik ataku, na który GravityZone EDR mapuje wykryte zdarzenia.
Funkcje
Funkcje Bitdefender EDR
GravityZone EDR dostępny jest w pakietach Business Security Premium i Enterprise.
Incident Visualizer
Graficzne drzewo ataku pokazujące pełny łańcuch zdarzeń: od pierwszego wektora infekcji po wszystkie procesy potomne i połączenia sieciowe.Automated Response
Automatyczne akcje reakcji: izolacja endpointu od sieci, zatrzymanie procesu, usunięcie pliku, blokada konta — bez interwencji administratora.Threat Hunting
Interfejs do przeszukiwania historycznej telemetrii (do 90 dni). Możliwość tworzenia własnych zapytań i reguł detekcji.MITRE ATT&CK Mapping
Każdy alert mapowany na techniki i taktyki MITRE ATT&CK. Ułatwia priorytetyzację i komunikację z zarządem.Anomaly Detection
Wykrywanie odchyleń od normalnego zachowania użytkownika i systemu. Skuteczne przy zagrożeniach wewnętrznych i przejętych kontach.Retencja telemetrii
Przechowywanie telemetrii przez 90 dni (Cloud) lub dłużej (On-Premises). Niezbędne do analizy po incydencie i threat hunting.
Scenariusz ataku
EDR w placówce medycznej — scenariusz ataku
Ataki ransomware na placówki medyczne rzadko są natychmiastowe. Typowy atak trwa od 3 do 14 dni od pierwszego przyczółka do szyfrowania. EDR wykrywa każdy etap.
| Kiedy | Etap | Co widzi EDR |
|---|---|---|
| Dzień 1 | Phishing | Pracownik recepcji otwiera złośliwy załącznik. EPP nie blokuje (nowy wariant). EDR rejestruje uruchomienie makra Office i uruchomienie cmd.exe. |
| Dzień 2–3 | Rekonesans | Atakujący używa wbudowanych narzędzi (net.exe, ipconfig, nltest) do mapowania sieci. EDR wykrywa sekwencję LOTL i generuje alert. |
| Dzień 4–7 | Ruch boczny | Próba ruchu bocznego przez SMB i RDP. EDR wykrywa nieautoryzowane połączenia między stacjami i eskalację uprawnień. |
| Dzień 8+ | Szyfrowanie (zablokowane) | Próba uruchomienia ransomware. EDR izoluje endpoint, zatrzymuje proces, alarmuje administratora. Dane HIS i PACS nienaruszone. |
Dla dyrektora IT
Aspekty techniczne
Wpływ na endpoint
Agent EDR zbiera telemetrię asynchronicznie. Wpływ na CPU: < 5% w trakcie aktywności, < 1% w spoczynku. RAM: ok. 150 MB. Nie wymaga dodatkowego agenta — EDR jest częścią agenta GravityZone.Integracje
GravityZone EDR integruje się z SIEM przez syslog/CEF i REST API. Dostępne integracje z Microsoft Sentinel, Splunk, IBM QRadar, Elastic SIEM.Wyjątki i polityki
Możliwość tworzenia wyjątków dla procesów medycznych (HIS, PACS, RIS) bez wyłączania telemetrii. Wyjątki nie wyłączają EDR — tylko dostosowują progi alertów.Model operacyjny
EDR wymaga kogoś, kto reaguje na alerty. Opcje: własny administrator lub partner IT (Business Security Premium) albo MDR — zarządzany SOC Bitdefender (Business Security Enterprise + MDR).
Wdróż EDR w swojej placówce
Konfigurujemy EDR z uwzględnieniem specyfiki środowisk medycznych — wyjątki dla HIS, PACS, RIS i urządzeń specjalistycznych.