EDR (Endpoint Detection and Response)
EDR é a camada de segurança que observa o comportamento dos computadores da empresa, registra o que aconteceu e permite conter um equipamento comprometido a distância. Antivírus bloqueia o que já conhece; EDR estranha o que foge do normal.
Antivírus tradicional funciona por assinatura: compara o arquivo com uma lista do que já se sabe ser malicioso. Resolve bem o problema conhecido e não enxerga o resto, que é justamente onde o ataque atual acontece, com ferramenta legítima usada de forma ilegítima.
EDR muda a pergunta. Em vez de "este arquivo está na lista", observa "este processo está se comportando como deveria". Um documento do Office que abre terminal, uma conta que começa a varrer a rede às três da manhã, um processo que passa a cifrar arquivo em massa: nada disso tem assinatura, e todo isso tem comportamento.
A parte que mais se ignora está na segunda letra do R, de resposta. Além de detectar, a ferramenta permite isolar o equipamento da rede sem tocar nele fisicamente, encerrar o processo e reconstruir a linha do tempo do incidente. É o que transforma um susto em investigação com resposta.
Nada disso vale sozinho. EDR gera alerta em volume, e boa parte é ruído legítimo. Sem alguém lendo, classificando e agindo, a ferramenta vira um painel que ninguém abre, e a empresa paga por segurança que não tem.
Quando se aplica
- A operação tem equipamento fora do escritório, onde a proteção de rede não alcança.
- Já houve incidente e ninguém conseguiu reconstruir o que aconteceu, nem por onde entrou.
- A empresa lida com dado sensível e precisa demonstrar capacidade de detecção e resposta.
- Existe antivírus instalado, mas nenhuma visibilidade sobre o que ele não pega.
Quando não se aplica
- Não há quem opere o alerta. Sem operação, EDR entrega menos do que um antivírus bem configurado.
- O básico ainda não está feito: sem controle de acesso, sem atualização e sem backup testado, EDR não é o primeiro investimento.
- A expectativa é prevenir todo incidente. EDR encurta a detecção e a resposta; não promete que nada aconteça.
Ferramenta mais operação: quem lê o alerta, classifica e responde.
Termos relacionados
A pergunta certa não é qual EDR comprar, é quem vai ler o alerta.
O diagnóstico levanta o que já está instalado, o que de fato é monitorado e onde estão os equipamentos sem cobertura.
Agendar diagnóstico