Endpointurile includ în mod obișnuit stații de lucru și servere, deși tipurile de dispozitive suportate și profunzimea vizibilității variază în funcție de produs și sistem de operare.
Un agent EDR poate observa activitate precum crearea de procese, modificări de fișiere, autentificări, mecanisme de persistență și conexiuni de rețea. În funcție de politică și capabilitățile produsului, responderii pot izola o gazdă, termina un proces, carantina un fișier sau colecta dovezi de investigare.
Puncte esențiale
Scop principalFurnizarea vizibilității și răspunsului la nivel de gazdă în timpul investigațiilor de securitate.
Valoare operaționalăAjută la reconstruirea lanțurilor de atac, vânarea activității conexe și izolarea mașinilor afectate.
Dependență de implementareAgenții trebuie instalați, sănătoși, corect configurați, protejați de manipulare și monitorizați de persoane sau automatizare.
Limitare importantăEDR nu poate vedea fiecare dispozitiv sau cale de atac și nu înlocuiește configurația securizată, controalele de identitate, monitorizarea rețelei sau backupurile recuperabile.