Begrijp voordat je handelt.
Praktische uitgangspunten voor het beoordelen van endpointdetectie en -respons.
Gidsen
EDR en bestaande bescherming
EDR voegt context voor onderzoek en reactie toe aan bestaande endpointbescherming. Beoordeel hoe de agent, het beleid en de huidige tools in je omgeving passen.
Bereid je beoordeling voor
Inventariseer Windows-endpoints, huidige beveiligingstools, verantwoordelijke medewerkers en uitrolbeperkingen. Gebruik een demo om de werkprocessen te bekijken die voor je team belangrijk zijn.
Bereid je reactieproces voor
Bepaal wie het bewijs beoordeelt, wie indamming mag autoriseren en hoe besluiten worden vastgelegd. Bespreek deze verantwoordelijkheden voordat je reactieacties inschakelt.
Rol uit naar een pilotgroep
Kies tien tot vijfentwintig representatieve Windows-endpoints, controleer of Sysmon is geïnstalleerd, installeer de MSI met je licentiesleutel en beoordeel een week lang de waarschuwingen voordat je reactieacties inschakelt.
Lees een waarschuwing
Begin met de techniek en de betrouwbaarheidswaarde, open de gebeurtenissen erachter, bekijk de apparaattijdlijn en zoek daarna hetzelfde patroon op andere apparaten voordat je beslist.
Woordenlijst
De termen achter endpointbeveiliging.
- EDR
- Endpoint detection and response: software op elk apparaat die gedrag vastlegt, waarschuwingen aanmaakt en je laat reageren.
- MDR
- Managed detection and response: de analisten van een aanbieder monitoren je telemetrie en reageren namens jou.
- MITRE ATT&CK
- Een openbare catalogus van tactieken en technieken van aanvallers, gebruikt om detecties te beschrijven en te vergelijken.
- IOC
- Indicator of compromise: een artefact zoals een bestandshash, adres of domein dat op een inbraak wijst.
- YARA
- Een regeltaal om patronen in bestanden en geheugen te herkennen.
- Sysmon
- Een gratis Microsoft-tool die gedetailleerde activiteit van processen, netwerk en bestanden op Windows vastlegt.
- AMSI
- De Windows Antimalware Scan Interface, waarmee beveiligingssoftware scripts kan inspecteren voordat ze draaien.
- Draaiboek
- Een vooraf gedefinieerde reeks reactiestappen die start wanneer aan een voorwaarde is voldaan.
- Tenant
- Een afzonderlijke klantomgeving binnen één platform, met eigen gegevens en toegangsregels.
- Laterale beweging
- Wanneer een aanvaller zich van het ene gecompromitteerde apparaat naar andere verplaatst.
Evaluatiechecklist
Goede vragen voor elke EDR-leverancier, ook voor ons.
- Welke besturingssystemen worden vandaag in productie ondersteund en welke zijn alleen gepland?
- Wat verzamelt de agent, waar gaat het naartoe en hoe lang wordt het bewaard?
- Kan ik de gebeurtenissen achter elke waarschuwing zien?
- Wie kan een reactieactie starten en hoe wordt die goedgekeurd en vastgelegd?
- Hoe worden opdrachten en updates geauthenticeerd?
- Wat gebeurt er als de agent de verbinding verliest?
- Hoe worden klantomgevingen van elkaar gescheiden?
- Wat is er nodig om uit te rollen naar een pilotgroep?
- Welke onderdelen van het product zijn algemeen beschikbaar en welke zitten in bèta?
- Welk bewijs kun je me laten zien, in plaats van beweringen?
Goede vragen om te stellen
Welke endpoints ondersteunt Vigilante?
Windows. Agents voor Linux en macOS maken geen deel uit van de huidige release. Bevestig besturingssysteemversies en vereisten tijdens de evaluatie.
Vervangt het mijn antivirus?
Vigilante voegt gedragsdetectie, onderzoek en reactie toe naast bestaande bescherming. De juiste configuratie hangt af van je omgeving.
Kan ik meerdere klanten beheren?
Ja. MSP's maken klanttenants aan, schakelen ertussen en delegeren toegang voor een beperkte tijd. Bespreek met ons de toegangsgrenzen en werkprocessen van je klantomgevingen.
Wat verlaat het endpoint?
Telemetriegebeurtenissen gaan naar je backend. Forensische pakketten en BitLocker-sleutels worden alleen verstuurd wanneer je erom vraagt of escrow inschakelt. De beveiligingspagina geeft de details.
Gebruikt het AI?
AI-ondersteunde triage is optioneel en start in een modus waarin alleen wordt gemonitord. Wanneer die is ingeschakeld, wordt de context van een waarschuwing naar de geconfigureerde modelaanbieder gestuurd.
Hoe wordt het uitgerold?
Installeer de MSI met een licentiesleutel. Stille installatie werkt met Group Policy en MDM-tools.
Is er een openbare prijslijst?
Prijzen zijn op aanvraag. Het voorstel houdt rekening met je endpoints, werkwijze en afgesproken omvang.
Hoe begin ik?
Neem contact op met Altovar voor een demo en een gesprek over je omgeving. Samen bepalen we de vervolgstappen.
Een duidelijke volgende stap.
Ontdek hoe Vigilante bij je endpoints en je team past.