Endpoint Detection and Response (EDR) là giải pháp theo dõi và phân tích hoạt động tại máy tính, máy chủ để hỗ trợ phát hiện dấu hiệu bất thường và ứng phó sự cố. TMGS EDR kết nối thông tin từ các điểm cuối về hệ thống quản trị tập trung.
Mô hình quản trị tập trung
- Thu thập: agent tại điểm cuối ghi nhận thông tin tiến trình, tệp tin và kết nối mạng theo chính sách.
- Phân tích: máy chủ quản trị tổng hợp dữ liệu, phát sinh cảnh báo và hỗ trợ điều tra.
- Ứng phó: quản trị viên thực hiện hành động phù hợp với sự cố và quyền hạn đã được cấp.
Các nhóm chức năng chính
Giám sát và phát hiện
Theo dõi hoạt động tiến trình, kết nối mạng và các thay đổi đáng chú ý trên điểm cuối; hỗ trợ nhận diện dấu hiệu mã độc, kết nối điều khiển và hành vi bất thường.
Điều tra và săn tìm
Truy vấn dữ liệu đã thu thập, tìm kiếm chỉ dấu và phân tích ngữ cảnh của cảnh báo. Phạm vi dữ liệu và thời gian lưu trữ cần được thống nhất theo hạ tầng, chính sách và cấu hình triển khai.
Ứng phó có kiểm soát
Hỗ trợ các thao tác như cách ly thiết bị, xử lý tiến trình hoặc thu thập thông tin phục vụ điều tra tùy chức năng được triển khai. Các hành động ảnh hưởng hệ thống cần tuân theo quy trình phê duyệt của doanh nghiệp.
Quản trị, cảnh báo và phân quyền
- Theo dõi tình trạng điểm cuối và cảnh báo trên giao diện tập trung.
- Phân quyền quản trị phù hợp cơ cấu tổ chức.
- Cấu hình kênh thông báo và quy trình tiếp nhận sự cố.
- Phối hợp với đội ngũ vận hành để xác minh, xử lý và theo dõi cảnh báo.
Chuẩn bị cho triển khai EDR
Doanh nghiệp nên xác định số lượng máy tính, máy chủ, hệ điều hành, yêu cầu lưu trữ và hệ thống giám sát cần tích hợp. TMGS sẽ trao đổi về phạm vi triển khai, chức năng và các tiêu chí nghiệm thu phù hợp.
Ảnh bìa là sơ đồ minh họa quy trình EDR, không phải ảnh chụp giao diện sản phẩm.