做好入侵检测与响应需要谨记这四条守则
作者:星期日, 六月 12, 20160

在规划、选择和部署终端检测与响应 (Endpoint Detection and Response, EDR) 解决方案之后,在EDR运行期间你只需要记住这些事情:

640-5

发现并存储终端信息是关键

为了有效保护机构的终端,你需要了解整个终端的环境和背景。这不仅包括存储并记录所有现有终端的固件,还包括其操作系统、应用版本,这样,一旦出现违反机构安全政策的改动,就可以有效利用这些数据。

它还包括不断监测新的终端,因为它们有可能尝试访问企业网络。所有未经批准的终端条目都应当被自动化地立即拦截。

检测、响应、预防之间的隔阂需要最小化

EDR中最重要的挑战之一就是减少”机构发现威胁和进行适当的响应”之间的时间差,以及“机构进行响应和将其整合进预防性安全措施”之间的时间差。

幸运的是,机构可以通过两个方式减少这其中的差距。首先,他们可以为终端的正常行为设立基准线,这样将会告诉他们什么才是“安全”和 “正常”的行为,进一步可以分析配置的变化情况,也即 漂移”。

其次,他们可以利用威胁情报、商业背景和在安全方面的努力,不但找出所有威胁,也考虑到其优先级和严重程度。有了这个信息,机构可以自动创建一个关于补丁的时间表,根据其严重性和优先级来快速响应威胁,而无需人工进行干预。

所有东西都与安全成熟度有关

EDR在支持安全的企业文化中工作效率最高,比如企业会采取正规的形式部署安全策略和进行培训。因此,想要最大限度利用EDR系统的机构应当谨记安全是一个过程,并提升自身的安全成熟度。这意味着企业必须不断进行安全意识培训,制定安全策略,并创建安全流程

机构还应当确保EDR解决方案被配置成能够与其它安全基础设施相互整合的模式。通过这一步骤,他们能够让互相割裂的安全系统相互整合,找到威胁。

EDR的生命周期永不终结

成百上千乃至数百万的新的数字威胁每天都在诞生。知道了这一点,机构应当对新威胁的迹象随时保持警惕,使用对旧威胁的响应方式创建新的预防措施,不断检测新的终端与配置上的变化,并努力减少检测、响应和预防之间的差距。

 

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章