W większości przypadków firmy, które chcą zabezpieczyć swoją infrastrukturę informatyczną, polegają na obietnicach producentów. Dyrektor działu IT, podpisując umowę z dostawcą zabezpieczeń, kupuje obietnicę, że system bezpieczeństwa IT powstrzyma atak hakerów i zapobiegnie naruszeniom danych. Ten model jakoś działa, a część dostawców wywiązuje się ze swoich obietnic, zapobiegając najczęstszym rodzajom ataków. Jednak najbardziej dojrzali specjaliści ds. cyberbezpieczeństwa zrozumieli, że wbrew temu, co opowiadają marketerzy, powstrzymanie wszystkich naruszeń jest niemożliwe.

Nie bez przyczyny coraz głośniej mówi się o konieczności przejścia od obietnic do dowodów. Co istotne, bazowanie na dowodach nie oznacza wcale rezygnacji z zapobiegania atakom. Nowe podejście uwidacznia się między innymi w sektorze rozwiązań do ochrony urządzeń końcowych. Koniec ery tradycyjnego oprogramowania antywirusowego zapowiedział w 2014 r. Brian Dye. Ówczesny wiceprezydent Symanteca pozwolił sobie na odrobinę szczerości, wyznając na łamach New York Timesa, że antywirusy zatrzymują jedynie około 45 proc. cyberataków.

Nic dziwnego, iż w końcu sami użytkownicy zaczęli bliżej przyglądać się antywirusom. Wprawdzie nie okazało się, że król jest nagi, ale z pewnością bardzo skromnie przyodziany. W międzyczasie na rynku zadebiutowały nowe produkty, takie jak Next Generation Antivirus (NGAV), Endpoint Detection and Response (EDR), Endpoint Protection Platforms (EPP), a od niedawna XDR (Extended Detection and Response). Pierwszy z wymienionych produktów jest niejako naturalnym następcą antywirusa. Z tym, że NGAV w przeciwieństwie do swojego protoplasty nie bazuje wyłącznie na sygnaturach wirusów i jest bardziej zorientowany na prewencję aniżeli reakcję. Antywirus nowej generacji wykorzystuje do identyfikacji zagrożeń kombinację sztucznej inteligencji, wykrywania behawioralnego i algorytmów uczenia maszynowego.

NGAV ma jeszcze jedną dużą zaletę, czyli rozpoznawanie nieznanego złośliwego oprogramowania i wysublimowanych ataków poprzez analizę całego kontekstu, a nie tylko odosobnionych incydentów. Bogata informacja kontekstowa pozwala NGAV zrozumieć przyczynę ataku, a tym samym zapobiec przyszłym incydentom. Zdaniem specjalistów ds. cyberbezpieczeństwa antywirus nowej generacji jest niezbędnym minimum dla firm poważnie podchodzących do ochrony urządzeń końcowych.

EDR na fali wznoszącej

Wszystko wskazuje na to, że w nadchodzących latach wzrastać będzie znaczenie tzw. „inżynierii wykrywania”. Funkcje systemów EDR czy XDR prawdopodobnie staną się podstawową warstwą, na której działy IT mogą budować niestandardową logikę wykrywania, dostosowaną do własnego środowiska. W ostatnim czasie szczególnie dużą popularnością cieszą się na polskim rynku systemy EDR. Gartner przewiduje, że do końca 2025 r. ponad 60 proc. klientów zastąpi starsze produkty antywirusowe połączonymi rozwiązaniami EPP i EDR. Warto w tym miejscu wyjaśnić, iż zasadnicza różnica pomiędzy produktami polega na tym, że EDR koncentruje się na aktywnym wykrywaniu zagrożeń, zaś EPP skupia się na zapobieganiu oraz identyfikacji zagrożeń w sposób pasywny. Poza tym EDR agreguje dane o zdarzeniach z punktów końcowych, zaś EPP oferuje w tym zakresie ograniczoną widoczność.

– Odnotowujemy, że popyt na produkty EPP w czystej formie minimalnie wzrasta, natomiast udział sprzedaży EDR rośnie gwałtownie. W większości przypadków EDR jest kupowany razem z EPP i w zasadzie możemy już stwierdzić, że te dwie kategorie produktów się łączą. W pewnym sensie EDR staje się specyficzną funkcją szerzej pojętej ochrony urządzeń końcowych – mówi Leszek Tasiemski, wiceprezes ds. badań i rozwoju w WithSecure.

W miarę rozprzestrzeniania się ataków, w tym również skierowanych przeciwko małym i średnim firmom, popyt na EDR-y powinien sukcesywnie rosnąć praktycznie w każdej grupie odbiorców biznesowych. Jednak w przypadku mniejszych firm poważnym wyzwaniem może być obsługa takich systemów, wymagająca specjalistycznej wiedzy technicznej.

– Klienci postrzegają EDR-y i XDR-y jako naturalny, wyższy poziom ochrony. Niemniej często w tym marketingowym szumie umyka fakt, że potrzebni są profesjonalni operatorzy, którzy potrafią wykorzystać potencjał tego rodzaju produktów. Wówczas użytkownicy mogą sobie niebawem uświadomić, że kupili technologię, której nie umieją spożytkować. W kolejnych latach będzie to szansa dla naszych partnerów handlowych, którzy na bazie EDR i XDR zapewnią klientowi usługi zarządzania – mówi Paweł Jurek, dyrektor ds. rozwoju w Dagma Bezpieczeństwo IT.

Jedną z kluczowych właściwości produktu zabezpieczającego jest blokowanie incydentów na punktach końcowych, a także zapobieganie ich rozprzestrzenianiu się w całej sieci. Za pomocą EDR-u można wykrywać anomalie i złośliwą aktywność w sieci, a także ustalać priorytety i analizować działania, które pomogą zespołowi bezpieczeństwa IT szybciej reagować na ataki. System ułatwia prowadzenie dochodzeń kryminalistycznych, dzięki centralnemu repozytorium danych pochodzących z wszystkich urządzeń końcowych (na tej postawie można prowadzić analizy). Nic dziwnego, że analitycy Gartnera określają EDR jako „nowy rodzaj technologii bezpieczeństwa”, która pomaga wykrywać zagrożenia i reagować na nie w czasie rzeczywistym.

Zdaniem integratora

Grzegorz Świrkowski, CEO, Net Complex Grzegorz Świrkowski, CEO, Net Complex  

Czynniki decydujące o wyborze rozwiązania do ochrony urządzeń końcowych są zróżnicowane i obejmują wiele aspektów. Jednym z kluczowych jest zrozumienie rodzajów cyberataków i zagrożeń, na które dana firma może się natknąć. To z kolei pomaga w dopasowaniu odpowiednich narzędzi i funkcji w celu skutecznej ochrony przed konkretnymi zagrożeniami. W procesie sprzedaży rozwiązań do ochrony urządzeń końcowych ważną rolę odgrywają resellerzy oraz integratorzy. Jako integrator dostarczamy kompletną usługę polegającą na dostarczeniu produktu, implementacji oraz szkolenia z obsługi. To podejście pomaga klientom przezwyciężyć obawy związane z nową technologią. Klienci często obawiają się, że niewłaściwe wdrożenie lub nieodpowiednie użytkowanie rozwiązania może zwiększyć ryzyko ataku, dlatego korzystanie z usług profesjonalnego integratora może zwiększyć ich pewność i zaufanie do określonego rozwiązania.

  
Karol Labe, CEO, Miecz Net Karol Labe, CEO, Miecz Net  

Małe i średnie firmy stosunkowo rzadko korzystają z takich systemów jak XDR, chociażby z uwagi na fakt, iż nie posiadają personelu zdolnego do obsługi tego rodzaju narzędzi. Natomiast odnotowujemy wzmożony popyt na rozwiązania typu EDR/XDR zwłaszcza ze strony sektora administracji rządowej. Ta grupa klientów korzysta ze specjalnych dotacji na bezpieczeństwo. O wyborze konkretnego rozwiązania decyduje zaufanie do danego producenta w kontekście jego podejścia do zarządzania samym rozwiązaniem. Duży wpływ na decyzje podejmowane przez klientów mają też rekomendacje resellerów.