Antivirus na svakom računalu desetljećima je bio sinonim za "imamo zaštitu". Problem je što su napadači u međuvremenu promijenili pravila igre, a klasični antivirus igra po starima.
Zašto antivirus više ne hvata sve
Tradicionalni antivirus radi po principu popisa: uspoređuje datoteke s bazom poznatih prijetnji. To izvrsno funkcionira protiv malwarea kojeg je netko već negdje vidio, analizirao i uvrstio u bazu.
Ali moderni napadi sve češće zaobilaze taj model. Zlonamjerni kod se automatski generira u jedinstvenim varijantama kojih nema ni u jednoj bazi. Još neugodnije: dio napada uopće ne koristi "viruse", nego legitimne alate koji već postoje na svakom Windows računalu: PowerShell, alate za udaljeni pristup, sistemske naredbe. Antivirus gleda ravno u napad i ne vidi ništa sporno, jer pojedinačno ništa sporno nije.
EDR: gleda ponašanje, ne popis
EDR (Endpoint Detection and Response) pristupa obrnuto. Umjesto pitanja "je li ova datoteka na popisu loših?", pita "je li ovo ponašanje normalno?"
Računovodstveno računalo koje odjednom pokreće skripte, pristupa stotinama datoteka u minuti i javlja se na nepoznatu adresu u inozemstvu: svaki korak možda izgleda nevino, ali obrazac vrišti. EDR taj obrazac prepoznaje i, što je ključno, reagira: sumnjivi proces se zaustavlja, računalo se automatski izolira od mreže, a zapis cijelog tijeka događaja ostaje sačuvan. Kod ransomwarea, razlika između reakcije u drugoj minuti i otkrića sljedeće jutro jest razlika između jednog izoliranog računala i kriptirane firme.
Iskreno: treba li to baš svima?
EDR jest postao pristupačan i malim tvrtkama, ali nije prva stvar na popisu. Ako još nemate uredan backup, MFA i ažurirane sustave. To ima prednost, jer EDR ne krpa temelje.
No ako temelje imate, a poslovanje vam ozbiljno ovisi o IT-u ili rukujete osjetljivim podacima, EDR je logičan sljedeći korak. Jedna napomena pritom: EDR generira upozorenja koja netko mora razumjeti i na njih reagirati. Zato se za manje tvrtke često najbolje pokazuje upravljana varijanta, alat plus netko tko ga stvarno gleda. Tehnologija bez para očiju iza nje je samo skuplji antivirus.