Endpoint Detection and Response
Endpoint Detection and Response (EDR) is beveiligingssoftware die apparaten zoals laptops, servers en telefoons (endpoints) continu in de gaten houdt. EDR herkent verdacht gedrag, slaat alarm bij een aanval en helpt je snel reageren, bijvoorbeeld door een besmet apparaat af te sluiten van het netwerk.
Wat is Endpoint Detection and Response (EDR)?
Traditionele antivirus zoekt naar bekende schadelijke bestanden. EDR kijkt vooral naar gedrag: welke processen starten en welke verbindingen een apparaat maakt. Zo herkent het ook aanvallen zonder bekende "handtekening".
EDR werkt via een agent, een klein programma op elk apparaat. Die verzamelt continu gegevens over wat er gebeurt. Daardoor krijg je ook forensisch inzicht: na een incident zie je hoe een aanvaller binnenkwam en wat die deed.
Hoe werkt EDR?
De agent op elk apparaat verzamelt continu data en analyseert het gedrag. Wijkt iets af van normaal, dan onderzoekt EDR die activiteit meteen.
Zo detecteert het bedreigingen als ransomware (gijzelsoftware die je bestanden versleutelt), fileless malware (aanvallen zonder een schadelijk bestand) en zero-day-aanvallen (misbruik van een nog onbekend lek).
Bij een verdachte gebeurtenis geeft EDR een alarm en maakt reageren mogelijk. Denk aan een apparaat isoleren van het netwerk, een kwaadaardig proces stoppen of wijzigingen terugdraaien.
Wat is de rol van EDR binnen een SOC?
EDR levert waardevolle data aan een Security Operations Center (SOC), het team dat de beveiliging van jouw organisatie bewaakt en op incidenten reageert. Analisten gebruiken de signalen van EDR om aanvallen te onderzoeken en te stoppen.
Alarmen hebben alleen waarde als iemand ze bekijkt en opvolgt. Daarom werkt EDR het best onder continue bewaking, bijvoorbeeld via een 24/7 SOC. Zo blijft geen enkel signaal liggen, ook 's nachts en in het weekend.