EDR не панацея: эксперты показали обход защиты на Windows, Linux и macOS

Системы EDR прочно вошли в арсенал корпоративной защиты, однако их наличие нередко формирует у заказчиков обманчивое чувство безопасности. Об этом пишет Михаил Чернышов, ведущий аналитик платформенных решений компании «Гарда», разбирая тезисы доклада Зоиэл Фрейре «Ransomware vs EDR: Inside the Attacker's Mind». Автор подчёркивает: метрики покрытия — не источник истины, а маркетинговые заявления требуют критической оценки.

Подробности

Зоиэл Фрейре — не теоретик: он профессионально занимается разработкой малвари и обходом защитных механизмов. В рамках тура по конференциям исследователь показывает живые демонстрации обхода EDR сразу на трёх платформах — Windows, Linux и macOS, вскрывая слабости применяемых методов защиты. Ключевой тезис доклада: открытая дверь остаётся открытой, даже если рядом установлена сигнализация. Иными словами, присутствие EDR-агента само по себе не закрывает векторы атаки — злоумышленник, понимающий внутреннее устройство защитного решения, способен обойти его детектирующие механизмы. Демонстрации Фрейре иллюстрируют это на практике для всех трёх распространённых ОС. Отдельное внимание автор уделяет тому, почему заказчики склонны переоценивать приобретённые системы. Метрики покрытия, которые фигурируют в отчётах и презентациях вендоров, не всегда отражают реальную устойчивость к целевым атакам. Маркетинговые заявления о «полной защите» следует воспринимать с поправкой на ограничения, присущие любым методам анализа. В исходном материале не приводятся конкретные CVE или перечень затронутых версий продуктов — речь идёт о концептуальных ограничениях класса решений, а не об отдельной уязвимости.

Что делать

Автор не даёт пошагового чек-листа, но логика его рассуждений подсказывает практические выводы для ИБ-специалистов. Во-первых, не стоит полагаться исключительно на факт внедрения EDR — защиту нужно выстраивать эшелонированно и регулярно проверять её на прочность. Во-вторых, метрики покрытия следует воспринимать критически и не путать их с реальной способностью отражать целевые атаки. В-третьих, полезно изучать публичные исследования и демонстрации обхода защит — они помогают трезво оценивать ограничения собственного стека. Материал Зоиэл Фрейре как раз относится к таким источникам. Итог: EDR — важный, но не самодостаточный элемент защиты. Осознание его ограничений — первый шаг к построению по-настоящему устойчивой архитектуры безопасности.

Источник: Хабр — Информационная безопасность