Asosiy xulosa
Muvaffaqiyatli joriy etish agent oʻrnatishdan koʻproq narsani oʻz ichiga oladi. Qoʻllab-quvvatlanadigan qurilmalar, yigʻiladigan maʼlumotlar, tekshiruvga masʼullik va javob choralarini tasdiqlashni oldindan kelishib oling.
Qamrov, roʻyxat va ishlash modelini belgilang
Joriy etishdan oldin ish stansiyalari, serverlar, masofaviy va mobil qurilmalar, virtual mashinalar, boshqariladigan konteyner muhitlari hamda printerlar, kameralar va sensorlar kabi tarmoq uskunalarini roʻyxatlang. Har bir guruh uchun masʼul, biznesdagi muhimlik, operatsion tizim, yangilanish holati va joriy etish usulini qayd eting. Qoʻllab-quvvatlanadigan qurilmalarni toʻliq telemetriya va javob imkoniyati bor qurilmalardan alohida kuzating; roʻyxatda boʻlish har bir xavfsizlik funksiyasi mavjudligini anglatmaydi. BYOD va yangi topilgan qurilmalar uchun egalik, tasdiqlash, yangilash va tarmoqqa kirish talablarini belgilang. EDR agentini ishlata olmaydigan uskunalar uchun mikrodastur yangilanishlari, kirish cheklovlari va tarmoq segmentatsiyasi kabi alohida nazoratlarni rejalang. Boshqaruv bulut, mahalliy yoki gibrid ekanini, maʼlumot qayerda saqlanishi va yangilanishlarga kim masʼulligini tasdiqlang.
Agentlar, telemetriya va maxfiylikni rejalang
Agent oʻrnatish, yangilash, nosozlikdan keyin tiklash va masofaviy qurilmalar ulanishini sinang. Qurilmalarga birma-bir oʻrnatish oʻrniga mavjud dastur tarqatish vositalari orqali bosqichli joriy etishni rejalang. Telemetriyani maqsadga mos tanlang: jarayon va ilova ishga tushishlari, fayl va reyestr oʻzgarishlari, foydalanuvchi va hisob faoliyati, tarmoq ulanishlari, DNS va tizim sozlamalari. Yigʻilgan maʼlumotlarni kim koʻrishi, nima eksport qilinishi va qancha saqlanishini belgilang. Xodimlar monitoringi uchun ichki siyosat va huquqiy talablarni tekshiring, keraksiz shaxsiy maʼlumot yigʻish va kirishni cheklang, sichqoncha yoki tugma bosishlarini yozishni standart EDR telemetriyasi deb hisoblamang.
Operatsion tizimlar va Linux yuklamalarini tekshiring
Aniq nashr, versiya va arxitekturani qoʻllab-quvvatlash jadvali va litsenziya bilan moslashtiring; agentni har bir muhitda sinang.
Windows hayot sikli
Windows 10 ning 22H2 versiyasi uchun umumiy qoʻllab-quvvatlash 14-oktabr, 2025-yilda tugagan. ESUga moslik va roʻyxatdan oʻtishni alohida tekshiring; LTSC nashrlarining oʻz qoʻllab-quvvatlash sanalari bor. Aniq nashr, litsenziya va EDR agenti qoʻllab-quvvatlanishini tasdiqlang.
Linux serverlari
Qoʻllab-quvvatlanadigan distributiv, yadro versiyasi, CPU arxitekturasi va agent telemetriya usulini tasdiqlang. Yadro moduli, eBPF, audit jurnallari yoki foydalanuvchi maydonidagi xizmat uchun yangilanishlar, resurslarga taʼsir va nosozlikdagi xulq-atvorni sinang; bitta usulning qoʻllab-quvvatlanishi barcha mahsulotlarga tatbiq etilmaydi.
Konteynerlar va Kubernetes
Qisqa yashovchi podlar va jarayonlar uchun dalillar saqlanishi, nomlar makoni koʻrinuvchanligi, bajarish muhiti qoʻllab-quvvatlanishi va javob choralarining klasterga taʼsirini tekshiring. Yetkazuvchi aniq qoʻllab-quvvatlanadi deb koʻrsatgan muhitni pilotda sinang.
Saralash, eskalatsiya va javobga masʼullarni tayinlang
Ichki, boshqariladigan yoki gibrid model uchun ish masʼuliyati va javob vakolatini amaliy yoʻriqnoma hamda shartnomada hujjatlashtiring.
| Rol | Kundalik ish | Vakolat va javob |
|---|---|---|
| Ichki tahlilchi | Ogohlantirishlarni saralaydi, kontekst va taʼsirni tekshiradi hamda hodisalarni yuqori bosqichga yoʻnaltiradi. | Amaliy yoʻriqnomada belgilangan choralarni bajaradi va tasdiq talab qiladigan bosqichlarni yuqori bosqichga yoʻnaltiradi. |
| Oxirgi nuqta yoki xizmat egasi | Qurilma muhimligi, xizmatga taʼsir va tiklash talablarini taqdim etadi. | Tashkilot siyosati asosida xizmatga taʼsir qiluvchi choralarni tasdiqlaydi. |
| Boshqariladigan EDR/MDR yetkazuvchisi | Shartnomadagi manbalarni kuzatadi, hodisalarni tekshiradi va yuqori bosqichga yoʻnaltiradi. | Faqat shartnomada kelishilgan vakolat doirasida javob choralarini koʻradi. |
Boshqariladigan ssenariy va kelishilgan mezonlar bilan sinang
Nomzod mahsulotlarda bir xil xavfsiz ssenariyni takrorlang va natijalarni kelishilgan mezonlar asosida baholang.
Ssenariyni tanlang
Sinov indikatori yoki taqlid qilingan shubhali jarayondan foydalaning; ish muhitida haqiqiy zararli dasturni ishga tushirmang. Boshlashdan oldin muvaffaqiyat mezonlarini yozing.
Ogohlantirish va dalillarni kuzating
Ogohlantirish nega chiqqani, bogʻliq jarayon/fayl/hisob hodisalari, vaqt jadvali va dalil eksportini tekshiring. Yolgʻon ogohlantirishlar va tasdiqlangan insidentlar qanday qayd etilishini koʻring.
Javob va ortga qaytarishni sinang
Izolyatsiya va karantinni namoyish qiling; nima avtomatik bajarilishi, kim tasdiqlashi, xizmatga taʼsiri va notoʻgʻri chora qanday ortga qaytarilishini qayd eting.
Oʻz qurilmalaringizda moslikni tekshiring
Roʻyxatingizdagi OT nashr va versiyalari, qurilma arxitekturalari, agent oʻrnatilishi, masofaviy va oflayn xulq-atvor, siyosatlar, tarmoq talablari va SIEM/ITSM/API integratsiyalarini sinang.
Mezonlar asosida solishtiring
Har bir nomzod uchun bir xil ssenariyni bajaring. Koʻrinuvchanlik, aniqlash va tekshiruv sifati, yolgʻon ogohlantirishlar, tahlilchi bosqichlari, javob nazorati, moslik va operatsion mehnatni oʻlchang. MITRE ATT&CK — raqib taktikasi va usullari bilimlar bazasi; ATT&CK Evaluations esa unga asoslangan alohida baholash dasturidir. Natijalarni sinov qamrovi va sozlamalari bilan birga talqin qiling: ular oʻz muhitingizdagi pilotni almashtirmaydi.
Avtomatlashtirish va SOAR integratsiyasini nazorat qiling
EDR saralash, tekshiruv, izolyatsiya va karantinni avtomatlashtirishi mumkin; SOAR integratsiyasi tasdiqlangan jarayonlarni SIEM, identifikatsiya, elektron pochta va tarmoq vositalariga bogʻlashi mumkin. Har bir playbook uchun uni ishga tushiruvchi signallar, qaysi choralar avtomatik bajarilishi, qaysilari inson tasdigʻini talab qilishi va nosozlikda nima boʻlishini belgilang. Yolgʻon ijobiy natija va muhim qurilma istisnolari, audit izi, sinov va ortga qaytarishni tekshiring. «AI», «bashorat» yoki «avtomatik javob» yorliqlarini aniq funksiyalar, integratsiyalar, siyosatlar va vakolatlarni namoyish qilish orqali baholang.
Tiklashni oʻlchang va natijalardan saboq oling
Insident davomida taʼsirlangan qurilmalar va hisoblar, zararli fayl va vositalar joylashuvi, dastlabki kirish yoʻli, ehtimoliy zaifliklar va bogʻliq oxirgi nuqtalarni tekshiring. Tarqalishni cheklang va javob rejasi asosida tozalash yoki qayta oʻrnatishdan oldin tekshiruv uchun zarur yozuvlar va boshqa dalillarni saqlang. Soʻng zararli faoliyatni toʻxtating va saqlanib qolish mexanizmlarini olib tashlang, aniqlangan zaifliklarni tuzating, oʻxshash qurilmalarda bogʻliq izlarni tekshiring hamda yangilanishlar va siyosatlarni koʻrib chiqing. Tiklangan tizimlar yaxlitligi va odatiy ishlashini tekshiring; zaxiralardan foydalansangiz, ularni tiklashdan oldin tekshiring. Insidentdan keyin aniqlash, tekshiruv va tiklash vaqti, choralar yakunlanishi, bajarilmagan yoki kechikkan bosqichlar va takroriy kamchiliklarni qayd eting. Topilmalardan qoidalar, amaliy yoʻriqnomalar, yamoqlash jarayonlari, oʻqitish va joriy etish qamrovini yangilash uchun foydalaning; koʻrsatkichlarni insident kontekstida talqin qiling.