U ovoj studiji slučaja opisujemo proces implementacije naprednog EDR rešenja za firmu sa povišenim bezbednosnim zahtevima, ilustrujući principe o kojima smo pisali kroz raniju seriju o sajber bezbednosti.
Polazna situacija
Firma sa oko trideset zaposlenih, koja radi sa osetljivim podacima klijenata, oslanjala se isključivo na standardni, ugrađeni Windows antivirus bez ikakve dodatne zaštite. Nakon što je slična firma u istoj industriji doživela ozbiljan bezbednosni incident, rukovodstvo je odlučilo da ozbiljnije pristupi proceni i unapređenju sopstvene zaštite.
Inicijalna procena rizika
Prvi korak bio je procena stvarnog nivoa rizika firme, uzimajući u obzir osetljivost podataka sa kojima rade, veličinu firme, i postojeći nivo zaštite. Ova procena je jasno pokazala da standardni antivirus, koji se oslanja prvenstveno na prepoznavanje poznatih pretnji, ne pruža dovoljnu zaštitu protiv sofisticiranijih, ciljanih napada ili novih varijanti ransomware-a, o čemu smo pisali u tekstu o poređenju antivirusa i EDR-a.
Izbor rešenja
Na osnovu procenjenog nivoa rizika i budžeta firme, izabran je CrowdStrike Falcon kao premium EDR rešenje, s obzirom na to da je firma, zbog osetljivosti podataka sa kojima radi, procenila da opravdava investiciju u napredniju zaštitu u odnosu na pristupačnije alternative.
Proces implementacije
Instalacija agenta na sve uređaje
Lagan softverski agent je instaliran na sve radne stanice i servere firme, proces koji je, zahvaljujući dizajnu CrowdStrike platforme, prošao sa minimalnim uticajem na svakodnevne performanse uređaja.
Konfigurisanje politika detekcije
Tim je konfigurisao politike prilagođene specifičnim potrebama firme, balansirajući osetljivost detekcije (da se uhvati što više potencijalnih pretnji) sa razumnim brojem lažnih pozitivnih upozorenja koja bi mogla nepotrebno opteretiti tim.
Uspostavljanje procesa reagovanja na upozorenja
Definisan je jasan proces ko prima koja upozorenja, u kom roku treba da reaguje, i kada se eskalira ozbiljniji problem, povezujući se sa principima o kojima smo pisali u tekstu o SOC servisu.
Integracija sa ostalim bezbednosnim merama
EDR implementacija je bila deo šireg unapređenja koje je uključivalo i uvođenje MFA na sve poslovne naloge i unapređenu email zaštitu, prateći principe slojevite odbrane o kojima smo pisali kroz raniju seriju.
Rani rezultati nakon implementacije
U prvim nedeljama nakon implementacije, sistem je detektovao nekoliko sumnjivih aktivnosti koje standardni antivirus ranije nije prepoznavao — uključujući pokušaj izvršavanja neuobičajenog skripta na jednom računaru, koji je, nakon istrage, ispostavilo se da potiče od zaraženog priloga koji je zaobišao email filter. EDR sistem je automatski zaustavio aktivnost pre nego što je mogla da izazove bilo kakvu štetu.
Ključne lekcije iz ovog projekta
Incident kod slične firme je bio koristan katalizator
Iako je nesrećno što je do odluke došlo nakon incidenta kod slične firme, umesto proaktivnog planiranja, ovo ilustruje realnost da mnoge firme reaguju tek nakon konkretnog signala rizika, umesto potpuno preventivno.
EDR pruža vidljivost koju standardni antivirus jednostavno nema
Konkretan primer detekcije sumnjivog skripta koji bi antivirus propustio jasno je pokazao razliku u mogućnostima o kojoj smo teoretski pisali u ranijem tekstu.
Implementacija EDR-a ima najveću vrednost kao deo šireg pristupa
Kombinovanje EDR-a sa MFA i email zaštitom, umesto oslanjanja na jednu, izolovanu meru, pružilo je znatno robusniju, slojevitu zaštitu.
Naš pristup u Trace Link-u
Ovakva implementacija predstavlja tipičan primer kako pristupamo unapređenju bezbednosti klijenata — počevši od realne procene rizika, kroz izbor odgovarajućeg nivoa zaštite, do integracije sa ostalim bezbednosnim merama za sveobuhvatnu, slojevitu odbranu. Radimo sa firmama u Novom Sadu, Beogradu i širom Srbije.
Zaključak
Ova studija slučaja ilustruje konkretnu vrednost prelaska sa osnovnog antivirusa na napredno EDR rešenje, uključujući stvaran primer detekcije pretnje koja bi prošla neprimećeno sa starijim pristupom. Ako vaša firma trenutno ima samo osnovnu antivirusnu zaštitu i radi sa osetljivim podacima, javite nam se preko kontakt forme za procenu rizika.