Wdrożenie EDR to duży krok naprzód w porównaniu z samym antywirusem. Ale EDR, podobnie jak alarm w budynku, działa tylko wtedy, gdy ktoś na niego reaguje. Alert, którego nikt nie przeczyta, informuje o ataku dopiero po fakcie. Wyjaśniamy, co oznacza alert bez analizy i jak zorganizować reakcję przez całą dobę.

Co EDR robi sam, a co wymaga człowieka

EDR automatycznie blokuje część zagrożeń — przede wszystkim znane złośliwe oprogramowanie i jednoznacznie szkodliwe zachowania. Wiele alertów to jednak sygnały do oceny, a nie gotowe werdykty:

  • administrator uruchamia narzędzie do zdalnego zarządzania — czy to on, czy atakujący, który przejął jego konto?
  • na serwerze pojawia się nowe zadanie harmonogramu — aktualizacja czy mechanizm utrwalenia dostępu?
  • komputer łączy się z rzadko odwiedzaną domeną — nowa usługa w chmurze czy serwer atakującego?

Automat nie zna kontekstu firmy. Człowiek, który go zna, rozstrzyga takie pytania w kilka minut.

Jak wygląda incydent bez SOC — scenariusz

Poniższy scenariusz jest fikcyjny, ale oparty na typowym przebiegu ataku.

  1. Sobota, 1:12. Atakujący loguje się przez VPN przejętym hasłem pracownika. Brak MFA.
  2. 1:30. Uruchamia narzędzie do skanowania sieci. EDR generuje alert o średnim priorytecie. Powiadomienie trafia na skrzynkę administratora.
  3. 2:05. Atakujący używa legalnego narzędzia administracyjnego do połączenia z serwerem. Kolejny alert.
  4. 3:40. Próba usunięcia kopii zapasowych. Alert o wysokim priorytecie.
  5. 4:15. Szyfrowanie plików. EDR blokuje proces na jednym serwerze, ale na drugim — bez agenta — szyfrowanie się udaje.
  6. Poniedziałek, 8:00. Administrator otwiera skrzynkę i widzi cztery alerty z weekendu.

Każdy z alertów był szansą na zatrzymanie ataku. Wystarczyło, żeby ktoś o 1:30 zablokował konto i odizolował komputer.

Ten sam scenariusz z analizą 24/7

  1. 1:30. Alert o skanowaniu sieci trafia do analityka dyżurnego.
  2. 1:40. Analityk sprawdza kontekst: konto zalogowane przez VPN z nietypowej lokalizacji, o nietypowej porze. Ocena: prawdopodobne przejęcie.
  3. 1:45. Blokada konta, izolacja urządzenia, powiadomienie osoby kontaktowej po stronie firmy zgodnie z procedurą eskalacji.
  4. Rano. Analiza, zmiana haseł, wdrożenie MFA dla VPN. Jeśli firma podlega UKSC — ocena, czy zdarzenie jest incydentem poważnym, który trzeba zgłosić w ciągu 24 godzin.

Co to oznacza w praktyce

  • Alert bez analizy to informacja, nie ochrona. Czas wykrycia (MTTD) liczy się od chwili, w której ktoś faktycznie oceni sygnał — więcej w artykule Ile trwa wykrycie incydentu i jak skrócić MTTD.
  • Szum jest realnym problemem. Setki alertów bez priorytetów prowadzą do „ślepoty na alerty” — zespół przestaje je czytać.
  • Pokrycie urządzeń ma znaczenie. Serwer bez agenta EDR to ślepa plamka, którą atakujący chętnie wykorzysta.

Jak zorganizować analizę alertów 24/7

Są trzy podstawowe modele:

  1. Własny zespół z dyżurami — pełna kontrola, ale wymaga kilku przeszkolonych osób, żeby zapewnić ciągłość przez całą dobę, urlopy i zastępstwa.
  2. Usługa MDR — producent lub partner analizuje alerty z konkretnego narzędzia i reaguje w jego zakresie.
  3. Zewnętrzny SOC — zespół analizuje zdarzenia z wielu źródeł (EDR, logi tożsamości, poczta, firewall), koordynuje reakcję i dokumentuje działania.

Porównanie modeli znajdziesz w artykule EDR, XDR czy MDR — co wybrać, a opis usługi dla mniejszych organizacji — w tekście SOC dla małej i średniej firmy.

Analizujemy alerty i koordynujemy reakcję w ramach usługi SOC i monitoringu bezpieczeństwa. Pomagamy też wdrożyć i skonfigurować EDR i XDR.