EDR установлен, агенты работают, события поступают в консоль. На первый взгляд, все под контролем. Но означает ли это, что команда ИБ видит каждое действие злоумышленника?
Не обязательно.
EDR анализирует активность конечных устройств, ищет подозрительные действия и помогает выявлять атаки. Однако у любого механизма обнаружения есть ограничения. Часть активности может выглядеть вполне легитимно, некоторые события — не вызывать срабатываний, а отдельные устройства — вообще оставаться вне поля зрения.
Где возникают слепые зоны?
1. Когда атака выглядит как обычная работа
Злоумышленнику не всегда нужны неизвестные вредоносные программы. Он может использовать штатные инструменты ОС, легитимные учетные записи и разрешенные сетевые соединения.
Например, запуск административного инструмента сам по себе не означает атаку. Но если за ним следуют обращения к необычным ресурсам, попытки доступа к другим системам и передача данных, последовательность уже выглядит иначе.
Если анализировать события по отдельности, часть подозрительной активности может остаться незамеченной. Здесь важны контекст и возможность связать действия между собой.
2. Когда первоначальное проникновение уже произошло
Допустим, EDR не обнаружил один из этапов атаки. Это не означает, что дальнейшая активность обязательно останется незаметной. Но и рассчитывать на то, что система автоматически выявит все последующие действия, нельзя.
После получения доступа злоумышленник может изучать инфраструктуру, искать привилегированные учетные записи, обращаться к файловым серверам и пытаться закрепиться в системе. При этом первоначальный вредоносный файл может больше не использоваться.
Поэтому важно искать не только известные индикаторы компрометации, но и признаки дальнейшего развития атаки. Если смотреть исключительно на сигнатуры конкретного вредоносного ПО, часть картины может потеряться.
3. Когда средство защиты не видит сам узел
Есть и более простая проблема: EDR может быть не установлен на устройстве, которое фактически работает в инфраструктуре.
Временная виртуальная машина в облаке, забытый тестовый сервер, устаревшая система или оборудование, на которое нельзя установить агент, — все это потенциальные пробелы в наблюдаемости.
В такой ситуации можно иметь отличные правила обнаружения и актуальные сигнатуры, но они не помогут получить телеметрию с узла, о существовании которого команда не знает.
Поэтому полнота защиты начинается с понимания того, что именно необходимо защищать.
4. Когда события есть, но общей картины нет
Предположим, EDR зафиксировал подозрительный процесс, сетевой мониторинг — необычное соединение, а система аутентификации — вход под той же учетной записью на другом сервере.
Каждое событие по отдельности может оказаться объяснимым. Но вместе они могут указывать на развитие атаки.
Если средства защиты работают изолированно, аналитикам приходится вручную собирать информацию из разных консолей. Часть связей обнаруживается позднее, а некоторые могут вообще остаться без внимания.
Здесь важна связка EDR, SIEM и сетевого мониторинга, а также Threat Hunting — целенаправленный поиск признаков компрометации, которые не обязательно сопровождаются готовым алертом.
Что с этим делать?
Проверять не только наличие агентов, но и фактическое покрытие инфраструктуры.
Тестировать обнаружение различных сценариев атак, включая использование легитимных инструментов.
Сопоставлять события из разных источников и проверять, какие этапы атаки остаются без достаточной видимости.
Регулярно проводить Threat Hunting, не ограничиваясь анализом уже сформированных алертов.
EDR — важный элемент защиты, но он не гарантирует, что каждое действие атакующего будет обнаружено. Даже качественное решение может не увидеть отдельный этап атаки, если нужные данные недоступны, поведение не соответствует известным детектам или устройство находится вне контролируемого контура.
Поэтому важно оценивать не только то, что средство защиты обнаруживает, но и то, какие сценарии остаются за пределами его видимости и чем эти пробелы можно компенсировать.
В конечном счете задача SOC — не просто получать алерты, а восстанавливать картину происходящего в инфраструктуре, в том числе тогда, когда ни один отдельный инструмент не показывает полной истории атаки.
