Quelles lacunes laisse l'EDR que seul le réseau révèle ?

Les équipements sans agent, les agents désactivés et la trace d'une attaque répartie sur plusieurs machines. L'EDREDR: endpoint detection and response (protection des postes). Logiciel de sécurité installé sur chaque ordinateur, qui observe ce qui se passe sur cette machine. (endpoint detection and response) rend compte depuis l'intérieur de chaque ordinateur où il tourne. Il ne rend pas compte d'une imprimante, d'un enregistreur de caméras, d'un NAS, d'un automate du bâtiment, du téléphone d'un visiteur ni d'un portable non géré que quelqu'un a branché. Il ne rend pas compte d'un serveur où on l'a désinstallé ou trafiqué. Et chaque agent voit un seul hôte, si bien qu'un schéma lent qui n'a de sens qu'à l'échelle de nombreux hôtes, comme une machine qui touche des dizaines de partages de fichiers ou qui appelle discrètement l'extérieur toutes les cinq minutes, passe facilement inaperçu. Le réseau voit tout cela, parce que tout équipement doit communiquer pour nuire. NetSenX observe ce trafic et tient une carte réseau des équipements qu'il voit. Il ne voit pas l'intérieur d'un hôte : les deux outils se complètent.

Cette réponse fait partie du guide : NDR, EDR, SIEM, XDR, MDR : les différences

← Les 40 questions sur NDR, EDR, SIEM, XDR, MDRTous les thèmes