EDR اختصار لـ Endpoint Detection and Response. وهو الجيل الذي تجاوز مضاد الفيروسات التقليدي؛ فبدلاً من الاكتفاء بمقارنة الملفات بقاعدة توقيعات، يراقب EDR كل ما يحدث على الجهاز: العمليات التي تعمل ومن شغّلها، والأوامر المنفذة، وتعديلات السجل (Registry)، والاتصالات الشبكية، والوصول إلى الملفات. ويرسل هذه البيانات إلى منصة مركزية لتحليلها.
القدرات الأساسية
- الاكتشاف السلوكي: رصد أنماط مثل برنامج Word يشغّل PowerShell، أو برنامج يحاول قراءة ذاكرة عملية LSASS لسرقة كلمات المرور، أو تشفير سريع لعدد كبير من الملفات.
- التحقيق: عرض شجرة العمليات وتسلسل الأحداث كاملاً لمعرفة كيف بدأ الهجوم وماذا فعل.
- الاستجابة: عزل الجهاز عن الشبكة مع إبقاء اتصاله بالمنصة، وإيقاف العمليات، وحذف الملفات الضارة، وأحياناً التراجع عن تغييرات الفدية.
- صيد التهديدات (Threat Hunting): البحث في بيانات كل الأجهزة عن مؤشر معين، كاسم ملف أو قيمة Hash أو عنوان IP.
ومن المنتجات المعروفة: Microsoft Defender for Endpoint وCrowdStrike Falcon وSentinelOne، إضافة إلى حلول من Sophos و ESET و Trend Micro و Kaspersky.
مثال عملي
مهاجم حصل على كلمة مرور موظف ودخل عبر VPN، ثم استخدم أدوات إدارة شرعية موجودة في Windows لاستكشاف الشبكة (أسلوب Living off the Land). مضاد الفيروسات التقليدي لن يرى شيئاً لأنه لا توجد ملفات ضارة، لكن EDR يلاحظ أن حساب محاسب يشغّل أوامر استطلاع Active Directory لأول مرة، فيطلق تنبيهاً ويتيح لفريق الأمن عزل الجهاز فوراً.
نقاط يجب مراعاتها
- EDR بلا متابعة للتنبيهات قيمته محدودة؛ ستحتاج فريقاً داخلياً أو خدمة MDR.
- غطِّ كل الأجهزة بما فيها السيرفرات، فالجهاز غير المغطى هو المكان الذي سيختبئ فيه المهاجم.
- فعّل الحماية من التلاعب (Tamper Protection) لمنع المهاجم من تعطيل الوكيل.
- اختبر التحديثات على مجموعة صغيرة أولاً إن أتاح المنتج ذلك. في 19 يوليو 2024 تسبب تحديث محتوى معيب من CrowdStrike في توقف ما يُقدّر بـ 8.5 مليون جهاز Windows حول العالم، مما أظهر أن الأدوات العاملة بعمق في نواة النظام تحتاج إدارة تغييرات حذرة.
الفرق بين EDR و Antivirus و XDR
Antivirus يمنع الملفات الضارة المعروفة أساساً. EDR يراقب السلوك ويوفر التحقيق والاستجابة. أما XDR فيوسّع الفكرة لتشمل مصادر أخرى كالبريد والهوية والشبكة والسحابة في منصة واحدة.
