Hvad er EDR og XDR?
EDR står for Endpoint Detection and Response og er en sikkerhedsteknologi, der overvåger adfærden på jeres endpoints, altså pc'er, bærbare og servere, og reagerer automatisk, når noget ser forkert ud. En EDR-løsning registrerer løbende, hvilke processer der kører, hvilke filer der ændres, og hvilke forbindelser der åbnes, og kan på den baggrund opdage angreb, mens de sker. XDR (Extended Detection and Response) er den naturlige videreudvikling, hvor det samme princip udvides til hele IT-miljøet.
EDR vs. antivirus: hvad er forskellen?
Traditionelt antivirus arbejder med signaturer: det genkender kendt malware ud fra et katalog og blokerer den. Det virker fint mod gammelkendte trusler, men moderne angribere bruger i stigende grad legitime værktøjer som PowerShell og fjernadgangsprogrammer, der ikke matcher nogen signatur.
EDR arbejder i stedet med adfærd og respons. Krypterer en proces pludselig hundredvis af filer, eller forsøger et program at læse adgangskoder ud af hukommelsen, slår EDR alarm, uanset om værktøjet er kendt eller ej. Og hvor antivirus stopper ved blokeringen, kan EDR reagere: isolere maskinen fra netværket, dræbe processen og give jer en tidslinje over, hvad der faktisk skete. Det er forskellen på en lås og en vagt, der holder øje.
Hvad er XDR?
XDR udvider EDR-princippet fra endpoints til hele angrebsfladen: e-mail, identiteter, cloud-applikationer og netværk. Fordelen er sammenhæng. Et moderne angreb starter måske med en phishing-mail, fortsætter med et kompromitteret login og ender på en server. En XDR-platform samler de tre signaler til én hændelse i stedet for tre isolerede alarmer, så I ser hele angrebskæden og kan stoppe den tidligere. Større setups sender desuden data videre til et SIEM, hvor logs fra alle systemer analyseres samlet.
Microsoft Defender for Endpoint som EDR
For de fleste danske SMV'er er det oplagte valg Microsoft Defender for Endpoint, som er Microsofts EDR-løsning og en del af Microsoft 365-økosystemet. Den er dybt integreret i Windows, deler trusselsdata med Defender-produkterne for e-mail, identitet og cloud-apps (og bliver dermed reelt til XDR via Microsoft Defender XDR) og kræver ingen ekstra agenter eller servere. Microsofts egen dokumentation på learn.microsoft.com beskriver funktionerne i detaljer, men den korte version er: mange virksomheder har allerede licensen og bruger den bare ikke.
En EDR-løsning gør dog kun gavn, hvis nogen reagerer på alarmerne. Teknologien skal følges af mennesker, der overvåger, undersøger og handler.
Sådan hjælper MI Support IT
Vi implementerer og konfigurerer Defender-baseret EDR og XDR som en del af vores IT-sikkerhedsløsninger, og med vores 24/7 service desk er der altid nogen til at reagere, når alarmen går. Kontakt os for at høre, hvad jeres nuværende licenser allerede dækker.