بسیاری از شرکت‌ها روی همه رایانه‌ها آنتی‌ویروس نصب کرده‌اند و خیالشان راحت است. اما بررسی حمله‌های باج‌افزاری اغلب نشان می‌دهد که مهاجم روزها در شبکه بوده، با ابزارهای عادی ویندوز کار کرده و آنتی‌ویروس یا هیچ هشداری نداده، یا هشدارش را کسی ندیده است. اینجاست که تفاوت آنتی‌ویروس و EDR معنا پیدا می‌کند.
آنتی‌ویروس سنتی چه می‌کند؟
آنتی‌ویروس فایل‌ها را با فهرستی از نشانه‌های بدافزارهای شناخته‌شده (Signature) مقایسه می‌کند و با روش‌های رفتاری ساده، فایل‌های مشکوک را هم شناسایی می‌کند. این لایه همچنان لازم است و بخش بزرگی از بدافزارهای رایج را متوقف می‌کند. ضعفش این است که بیشتر روی «فایل» تمرکز دارد؛ اگر مهاجم با رمز سرقت‌شده وارد شود و از ابزارهایی مثل PowerShell یا نرم‌افزارهای ریموت قانونی استفاده کند، چیزی برای مقایسه با فهرست وجود ندارد.
EDR چه چیزی اضافه می‌کند؟
EDR (Endpoint Detection and Response) به‌جای بررسی صرف فایل‌ها، رفتار سیستم را به‌طور مداوم ثبت و تحلیل می‌کند:
- دید کامل: کدام پردازه، چه پردازه دیگری را اجرا کرد، به کجا وصل شد و چه فایل‌هایی را تغییر داد.
- تشخیص رفتاری: الگوهایی مثل رمزگذاری سریع تعداد زیادی فایل، تلاش برای سرقت رمزها از حافظه یا پاک کردن نسخه‌های سایه (Shadow Copy).
- واکنش: جدا کردن رایانه آلوده از شبکه از طریق کنسول، متوقف کردن پردازه و در برخی محصولات، برگرداندن تغییرات.
- بررسی پس از حادثه: امکان دیدن اینکه حمله از کجا شروع شد و به کجاها رسید.
Microsoft Defender چطور؟
ویندوزهای امروزی Microsoft Defender Antivirus را به‌صورت داخلی دارند که اگر فعال، به‌روز و به‌صورت مرکزی مدیریت شود، پایه خوبی است. قابلیت‌های EDR مایکروسافت در محصول جداگانه‌ای با لایسنس مخصوص ارائه می‌شود. سازندگان دیگر هم محصولات EDR دارند؛ امکانات و مدل لایسنس آن‌ها متفاوت است و پیش از انتخاب باید با نیاز و بودجه شرکت سنجیده شود.
در انتخاب به چه چیزی توجه کنیم؟
- کنسول مدیریت مرکزی: وضعیت همه دستگاه‌ها، هشدارها و به‌روز بودن را از یک جا ببینید.
- پوشش سرورها: نسخه سرور ویندوز و در صورت نیاز لینوکس را پشتیبانی کند.
- محافظت در برابر دستکاری (Tamper Protection): مهاجم یا کاربر نتواند به‌راحتی آن را غیرفعال کند.
- سربار قابل‌قبول: روی سرورهای دیتابیس و سیستم‌های پرکار، کارایی را مختل نکند.
- کسی که هشدارها را ببیند: EDR بدون فردی که هشدارها را بررسی کند، بخش زیادی از ارزشش را از دست می‌دهد. اگر تیم داخلی ندارید، از سرویس پایش مدیریت‌شده کمک بگیرید.
اشتباهات رایج در پیاده‌سازی
- نصب نکردن روی سرورها به این بهانه که «سرور که اینترنت ندارد»
- اجرای همزمان دو آنتی‌ویروس روی یک سیستم که باعث کندی و تداخل می‌شود
- استثناهای گسترده، مثلاً کنار گذاشتن کل درایو
D:؛ استثناها فقط بر اساس توصیه رسمی سازنده نرم‌افزارهایی مثل SQL Server یا نرم‌افزار بکاپ تعریف شوند - دستگاه‌هایی که ماه‌هاست به کنسول گزارش نداده‌اند و کسی متوجه نشده است
آنتی‌ویروس یا EDR آخرین لایه دفاع است، نه تنها لایه. بستن RDP، به‌روزرسانی منظم، ورود دومرحله‌ای و بکاپ امن همچنان پایه امنیت‌اند.
چک‌لیست
- همه رایانه‌ها و سرورها حفاظت فعال و به‌روز دارند.
- مدیریت مرکزی و گزارش وضعیت دستگاه‌ها وجود دارد.
- Tamper Protection فعال است.
- استثناها محدود و مستند هستند.
- هشدارها هر روز توسط فرد مشخصی بررسی می‌شود.
- برای سیستم‌های حیاتی، قابلیت تشخیص و واکنش (EDR) در نظر گرفته شده است.
کارشناسان ITPlus724 می‌توانند وضعیت حفاظت فعلی رایانه‌ها و سرورهای شما را بررسی کنند و راهکاری متناسب با اندازه و بودجه شرکت پیاده‌سازی کنند.