EDR (Endpoint Detection and Response) é uma tecnologia que regista o que acontece em computadores e servidores (processos, ficheiros, ligações, inícios de sessão) para detetar comportamentos suspeitos, investigá-los e responder, por exemplo, isolar o equipamento da rede.
Como funciona
Um agente instalado em cada equipamento envia telemetria para uma consola central. Ao contrário de um antivírus baseado em assinaturas de ficheiros conhecidos, o EDR analisa comportamentos: um documento de escritório que lança um interpretador de comandos e descarrega código é uma cadeia suspeita, mesmo que nenhum ficheiro conste de uma lista negra.
A consola permite reconstituir a sequência de eventos e executar ações de resposta: isolar o equipamento, terminar um processo, colocar um ficheiro em quarentena ou bloquear uma conta, consoante o produto e a licença. O MDR (Managed Detection and Response) acrescenta uma equipa que analisa os alertas e atua como parte do serviço. O XDR alarga a telemetria à identidade, ao correio eletrónico e à rede.
Exemplo
Exemplo ilustrativo, não um caso real. Um utilizador abre um anexo de correio eletrónico no portátil. O documento executa um script que tenta cifrar ficheiros de uma pasta partilhada. Se o EDR reconhecer o comportamento, isola o portátil da rede e gera um alerta.
O responsável analisa a cronologia, confirma que os restantes equipamentos não mostram a mesma atividade, repõe as credenciais do utilizador afetado e verifica que as cópias de segurança da pasta estão intactas antes de voltar a ligar o equipamento. O valor não está só no aviso, mas em haver quem saiba o que fazer com ele.
Limites
O EDR não garante deteção em tempo real nem cobertura total. Equipamentos sem agente, agentes desativados, sistemas não suportados e regras mal afinadas deixam lacunas; um equipamento que não envia telemetria não deve aparecer como saudável.
Isolar um equipamento também pode interromper o trabalho, pelo que é preciso acordar quem pode decidi-lo. Um alerta não é um incidente resolvido: tem de ser investigado e encerrado. E o EDR não substitui atualizações, cópias de segurança nem privilégio mínimo. Como recolhe atividade dos utilizadores, convém definir o que é registado, quem acede e durante quanto tempo se conserva.
Quando chamar um especialista
Convém pedir ajuda quando existe trabalho híbrido ou portáteis fora do escritório, quando ninguém analisa os alertas todos os dias, quando um cliente, uma auditoria ou uma seguradora pedem evidências de proteção dos postos de trabalho, ou quando já ocorreu um incidente.
Um diagnóstico prévio analisa quantos equipamentos e servidores existem, que utilizadores têm privilégios, que sistemas não aceitam agente e quem decide isolar um equipamento. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação, e propomos EDR e MDR geridos no quadro de uma estratégia de cibersegurança: conheça os nossos serviços de cibersegurança ou conte-nos o seu caso.
Saber mais
Termos relacionados do glossário: MDR, XDR, SOC, SIEM e ransomware.
Fontes oficiais (em inglês): as recomendações de resposta a incidentes do NIST SP 800-61 Rev. 3 e o MITRE ATT&CK, uma base de conhecimento pública sobre táticas e técnicas de atacantes.