Когда антивируса мало: EDR
Подбираем и внедряем EDR под ваш парк: проверяем решение на пилотной группе машин, разворачиваем агенты и настраиваем реагирование.
Подобрать EDR
EDR (Endpoint Detection and Response) — средство обнаружения и реагирования на уровне узла. Агент на рабочей станции или сервере записывает запуски процессов, сетевые соединения и изменения файлов, а консоль ищет в этой истории признаки атаки. Если угроза подтвердилась, EDR изолирует узел от сети или останавливает процесс. Антивирус такой истории не ведёт.
Антивирус (EPP)
Не пускает известное: сверяет файлы с сигнатурами, применяет политики, контролирует запуск приложений. Срабатывает, когда вредоносный файл попадает на машину.
EDR
Ищет то, что прошло мимо антивируса: атаку без вредоносного файла, штатные утилиты в руках злоумышленника, медленное продвижение по сети. Показывает цепочку событий и даёт ответить — изолировать узел, остановить процесс.
У одних разработчиков EDR — модуль того же агента, что и антивирус, у других — отдельный агент. От этого зависят нагрузка на машины и порядок перехода, их и проверяет пилот.
Что делаем
- Оценка. Смотрим, хватает ли антивируса: состав парка и операционных систем, доступ в интернет, класс защищённости системы.
- Подбор и пилот. Подбираем решение класса EDR или XDR российских разработчиков — например, Kaspersky EDR, MaxPatrol EDR (Positive Technologies), F6 XDR — проверяем его на пилотной группе машин и сверяем сертификат ФСТЭК, если он нужен для вашей системы.
- Внедрение. Поставляем лицензии, разворачиваем агенты, настраиваем политики реагирования и передачу событий в SIEM, если она у вас есть. Если нет — расскажем, как внедрить SIEM.
Что требует ФСТЭК
Методический документ ФСТЭК России от 12.04.2026 о мерах защиты информации в информационных системах:
- антивирусная защита — мера АВЗ.1, она входит в набор для всех классов защищённости;
- для систем классов К2 и К1 с доступом в интернет добавлено усиление меры ЗКУ.3: обнаружение вторжений и реагирование на конечных устройствах;
- для этого допускаются система обнаружения вторжений уровня узла и (или) средство обнаружения и реагирования на уровне узла — к последним относится EDR.
Кто будет смотреть в консоль
EDR находит подозрительное, но решение принимает человек. Если дежурной смены по ИБ нет, оповещения копятся без ответа, особенно ночью и в выходные. Тогда к EDR добавляют MDR — мониторинг и реагирование силами внешнего SOC. Подробный разбор — в статье EDR, XDR и MDR: что это и чем отличаются.
Подобрать EDR
