EDR ili antivirus: razlike i što odabrati za tvrtku

Antivirus i EDR nisu isto. Antivirus je preventivni alat koji prepoznaje i blokira poznati zlonamjerni softver prije nego što se pokrene. EDR (Endpoint Detection and Response) neprekidno prati što se događa na računalima i poslužiteljima, otkriva sumnjivo ponašanje i omogućuje istragu i odgovor kad prijetnja prođe prvu liniju obrane. Za većinu tvrtki pitanje zato nije “jedno ili drugo”, nego kako ih složiti zajedno i što učiniti kad nijedan sloj ne zaustavi napad, a podaci postanu nedostupni. U nastavku su razlike, troškovi, zahtjevi prema IT timu i praktični koraci za slučaj da incident ipak pogodi Vaše diskove.

Datarecovery

Vratite izgubljene poslovne podatke

Ako napad ili kvar učini podatke nedostupnima, Datarecovery pruža laboratorijske usluge oporavka podataka s različitih uređaja.

Posjetite Datarecovery

Ukratko

Antivirus radi uglavnom na temelju potpisa poznatih prijetnji: brz je, jednostavan i traži malo održavanja.
EDR prati ponašanje procesa, mrežnih veza i promjena na sustavu, pa može otkriti i nove, dosad neviđene napade te izolirati zaraženi uređaj.
Najbolja praksa je kombinacija: antivirus blokira poznato, EDR hvata ono što je prošlo i daje alate za istragu.
EDR traži više znanja i vremena IT tima, a licenca se u Europi obično kreće od 3 do 10 EUR po uređaju mjesečno.
Nijedna zaštita ne jamči da podaci neće stradati. Ako ransomware ili kvar zaključaju važne datoteke, ne pokušavajte popravke na svoju ruku i obratite se laboratoriju za spašavanje podataka.

Sadržaj

Što je tradicionalni antivirus i kako radi
Što je EDR i što donosi
EDR i antivirus: usporedba ključnih razlika
Može li EDR zamijeniti antivirus?
Je li Microsoft Defender antivirus, EDR ili XDR?
Koliko EDR traži od IT tima i proračuna
Gdje su tu XDR i MDR
Kako odabrati: antivirus, EDR ili oboje
Kad zaštita zakaže: što učiniti s podacima
Kad su podaci ugroženi, tu je InfoLAB
Česta pitanja
Izvori

Što je tradicionalni antivirus i kako radi

Tradicionalni antivirus otkriva prijetnje tako da datoteke uspoređuje s bazom poznatih potpisa, odnosno “otisaka” zlonamjernog softvera. Kad se datoteka podudara s nekim zapisom u bazi, antivirus je blokira, stavlja u karantenu ili briše. Takav pristup opisuje i pregled razlika između EDR-a i antivirusa jednog od velikih proizvođača sigurnosnih rješenja.

Prednosti antivirusa su jasne:

radi automatski, bez potrebe da analitičar pregledava svako upozorenje,
jednostavno se instalira i traži minimalnu konfiguraciju,
pouzdano zaustavlja velik dio svakodnevnih, poznatih prijetnji koje stižu e-poštom, s USB stickova ili preuzimanjem s interneta.

Ograničenje je u samoj logici rada: antivirus mora “znati” kako prijetnja izgleda. Prema analizi hrvatskog portala za kibernetičku sigurnost, antivirus više nije dovoljan jer se oslanja na statične potpise, dok moderni napadi poput ransomwarea i napada bez datoteka (fileless malware) zahtijevaju praćenje ponašanja u stvarnom vremenu. Napad koji koristi legitimne alate operacijskog sustava ili novu, izmijenjenu inačicu zlonamjernog koda može proći neprimijećeno.

Moderni antivirusni programi dodaju i heuristiku te osnovnu analizu ponašanja, pa granica između kategorija nije uvijek oštra. Ipak, njihova je glavna uloga i dalje ista: spriječiti da zlonamjerni softver uopće uđe i pokrene se.

Što je EDR i što donosi

EDR je skraćenica za Endpoint Detection and Response, odnosno otkrivanje i odgovor na krajnjim točkama. Krajnje točke su sva računala, prijenosnici i poslužitelji u mreži tvrtke. EDR na njima kontinuirano bilježi aktivnosti i koristi bihevioralnu analizu, strojno učenje i heuristiku kako bi otkrio i poznate i nepoznate (zero-day) prijetnje.

Umjesto pitanja “je li ova datoteka poznati virus?”, EDR postavlja pitanje “je li ovo ponašanje normalno?”. Primjeri ponašanja koja EDR može označiti kao sumnjiva:

proces koji u kratkom vremenu otvara i mijenja stotine dokumenata, što je tipičan znak kriptiranja ransomwareom,
pokušaj brisanja sjenovitih kopija (shadow copies) i točaka vraćanja sustava,
neočekivane mrežne veze prema nepoznatim poslužiteljima u inozemstvu,
promjene registra kojima napadač osigurava da se zlonamjerni kod pokreće pri svakom podizanju sustava.

EDR prikuplja detaljnu telemetriju o procesima, mrežnim vezama i promjenama registra, što tradicionalni antivirusi u pravilu ne pružaju. Na temelju tih zapisa IT tim može složiti vremensku crtu događaja i vidjeti kako je napadač ušao, što je dirao i kamo se pokušao proširiti. Uz to, EDR nudi automatizirane odgovore, primjerice izolaciju zaraženog uređaja od ostatka mreže dok se incident ne riješi.

EDR i antivirus: usporedba ključnih razlika

Kriterij	Tradicionalni antivirus	EDR
Osnovni pristup	Prevencija: blokiranje pri ulasku	Otkrivanje, istraga i odgovor nakon proboja
Način otkrivanja	Potpisi poznatih prijetnji, osnovna heuristika	Analiza ponašanja, strojno učenje, heuristika
Nove i nepoznate prijetnje	Ograničeno	Može ih otkriti po ponašanju
Napadi bez datoteka	Teško ih prepoznaje	Prati aktivnost procesa i alata sustava
Prikupljeni podaci	Osnovni zapisi o detekcijama	Detaljna telemetrija: procesi, mreža, registar
Odgovor na incident	Karantena ili brisanje datoteke	Izolacija uređaja, automatizirani odgovori, istraga
Forenzička analiza	U pravilu ne	Da, vremenska crta događaja
Složenost uvođenja	Niska	Umjerena
Potrebno znanje IT tima	Minimalno	Vještije osoblje za trijažu i odgovor
Trošak	Niži	Viši, uz trošak ljudi koji prate upozorenja

Usporedba o složenosti i načinu rada temelji se na usporedbi EDR-a i antivirusa za IT timove, prema kojoj antivirus uglavnom radi sam, dok EDR pruža detaljnije alate za istragu koje netko mora znati koristiti.

Može li EDR zamijeniti antivirus?

U većini okruženja odgovor je da ih treba koristiti zajedno. Antivirus pomaže blokirati poznate prijetnje, a EDR otkriva nove prijetnje i omogućuje odgovor na njih. Dva sloja pokrivaju različite faze napada: antivirus djeluje na samom ulazu, EDR prati što se događa nakon toga.

Koliko su ti slojevi isprepleteni, pokazuje i Microsoftova dokumentacija. Microsoft ima poseban način rada EDR u načinu blokiranja (EDR in block mode), namijenjen situacijama u kojima je primarni antivirus nekog drugog proizvođača. Tada EDR sanira detekcije nakon proboja koje je taj antivirus propustio. Kad je Microsoft Defender Antivirus primarni antivirus, Microsoft preporučuje da se taj način rada isključi, jer antivirus već pokriva tu ulogu.

Praktična poruka za IT odjel: prije uvođenja EDR-a provjerite kako će surađivati s postojećim antivirusom, koji je od njih primaran i kako su podešene iznimke. Dva alata koja se međusobno “svađaju” oko istih datoteka mogu usporiti sustav ili ostaviti rupe u zaštiti.

Je li Microsoft Defender antivirus, EDR ili XDR?

Ovo je jedno od najčešćih pitanja jer je Defender već ugrađen u Windows. Odgovor ovisi o tome o kojem je Defenderu riječ. Microsoft Defender Antivirus koji dolazi s Windowsima je antivirus. Microsoft Defender for Endpoint je poslovno rješenje koje uključuje antivirusnu zaštitu nove generacije (Next-Generation Protection) i EDR, a dio je šireg Microsoft Defender XDR ekosustava koji osim krajnjih točaka pokriva i identitete te e-poštu.

Drugim riječima, sama činjenica da je na računalu uključen Defender ne znači da tvrtka ima EDR. Za EDR mogućnosti potrebna je odgovarajuća poslovna licenca i, jednako važno, netko tko prati upozorenja.

Koliko EDR traži od IT tima i proračuna

Ljudi i znanje

EDR nije alat koji se instalira i zaboravi. Generira upozorenja koja netko mora pregledati, procijeniti i na njih reagirati. EDR rješenja zato često zahtijevaju vještije IT osoblje nego antivirus. Prema jednoj procjeni savjetničke kuće za kibernetičku sigurnost, organizacije s više od 1.000 krajnjih točaka za rad s EDR-om trebaju dva do tri djelatnika s punim radnim vremenom posvećena sigurnosnim operacijama.

Manje tvrtke takav tim najčešće nemaju. Tada se koriste upravljane usluge (Managed EDR ili MDR), u kojima vanjski sigurnosni centar prati upozorenja umjesto internog tima, često 24 sata dnevno.

Trošak licenci

Antivirus je u pravilu jeftiniji. Za EDR ista procjena navodi da se tržišne cijene licenci u Europi kreću od 3 do 10 EUR po krajnjoj točki mjesečno, bez troška ljudi koji obrađuju upozorenja. Za tvrtku s 50 računala to je okvirno od 150 do 500 EUR mjesečno samo za licence. Upravljane usluge s cjelodnevnim nadzorom koštaju više, ali uključuju i stručnjake.

Pri izračunu isplativosti vrijedi u drugu stranu vage staviti trošak zastoja: dane u kojima tvrtka ne može izdavati račune, pristupiti bazi kupaca ili proizvodnim nacrtima jer su podaci kriptirani.

Gdje su tu XDR i MDR

U usporedbama se uz EDR često pojavljuju još dvije kratice:

XDR (Extended Detection and Response) proširuje EDR izvan krajnjih točaka. Belgijski nacionalni centar za kibernetičku sigurnost u svojim preporukama za odabir antivirusa, EDR-a i XDR-a opisuje XDR kao sustav koji objedinjuje prikupljanje i analizu sigurnosnih podataka i radne tokove kroz cijeli sigurnosni sustav organizacije, čime se poboljšava vidljivost i ujedinjuje odgovor.
MDR (Managed Detection and Response) nije zasebna tehnologija, nego usluga: vanjski tim stručnjaka upravlja EDR-om ili XDR-om umjesto Vas.

Za tvrtke koje potpadaju pod europsku direktivu NIS2 ovo pitanje nije samo tehničko. Spomenuta savjetnička analiza tumači da NIS2 očekuje učinkovito otkrivanje i odgovor na incidente, da sam antivirus za to nije dovoljan te da je EDR osnovna razina, a XDR ili MDR opravdane nadogradnje. Je li Vaša tvrtka obveznik i koje mjere mora primijeniti, provjerite s pravnim savjetnikom ili stručnjakom za usklađenost.

Kako odabrati: antivirus, EDR ili oboje

Odluka ovisi o veličini tvrtke, osjetljivosti podataka i tome tko će zaštitu održavati. Kao okvirne smjernice:

Kućni korisnik ili vrlo mala tvrtka bez IT osobe: kvalitetan antivirus, redovita ažuriranja sustava i, prije svega, sigurnosne kopije koje nisu stalno spojene na računalo.
Mala i srednja tvrtka s osjetljivim podacima (računovodstvo, odvjetnički uredi, zdravstvena administracija, projektni biroi): antivirus uz EDR, najčešće kao upravljanu uslugu jer interni tim nema kapaciteta za cjelodnevni nadzor.
Veće organizacije i obveznici NIS2: EDR kao osnova, uz razmatranje XDR-a ili MDR-a, jasne procedure za odgovor na incidente i redovite vježbe.
Svi bez iznimke: plan za dan kad zaštita zakaže. To znači sigurnosne kopije prema pravilu 3-2-1 (tri kopije, na dva različita medija, jedna izvan lokacije), provjeru da se kopije stvarno mogu vratiti i poznat kontakt laboratorija za spašavanje podataka.

Više o organizacijskoj strani zaštite pročitajte u tekstu o sigurnosti podataka u poslovnom okruženju, a pregled prijetnji protiv kojih se EDR i antivirus bore donosi vodič o vrstama kibernetičkih napada na podatke.

Kad zaštita zakaže: što učiniti s podacima

I najbolje složena zaštita smanjuje rizik, ali ga ne uklanja. Napadač može doći ukradenim lozinkama, preko dobavljača ili kroz ranjivost koja još nije zakrpana. Osim napada, podatke ugrožavaju i obični kvarovi: disk koji je pao sa stola, SSD koji je iznenada nestao iz sustava ili RAID polje koje se raspalo nakon zamjene diska. Ni antivirus ni EDR ne štite od mehaničkog kvara.

Ako primijetite da su datoteke promijenile nastavke, da se pojavila poruka s otkupninom ili da diskovi više nisu čitljivi, koraci u prvim satima odlučuju koliko će se podataka moći vratiti:

Odspojite zahvaćene uređaje s mreže, ali ih ne gasite naglo ako nije nužno i ne formatirajte ništa. Ako EDR već nudi izolaciju uređaja, iskoristite je.
Ne pokušavajte samostalne popravke. Ponovna instalacija sustava, inicijalizacija diskova ili ponovna izgradnja RAID polja mogu prebrisati upravo ono što se još moglo spasiti.
Sačuvajte poruku napadača i zapise koje je prikupio EDR. Telemetrija i vremenska crta događaja važni su za forenzičku analizu i za prijavu incidenta.
Provjerite sigurnosne kopije na uređaju koji nije bio spojen na zaraženu mrežu, prije nego što ih spojite natrag.
Ako su važni podaci nedostupni, obratite se laboratoriju za spašavanje podataka prije bilo kakvih daljnjih zahvata na diskovima.

Detaljan postupak opisan je u hitnom vodiču za oporavak podataka nakon ransomware napada, a o tome kako kripto virusi rade i kako se zaštititi pišemo u članku kripto virusi, kako se zaštititi.

Kad su podaci ugroženi, tu je InfoLAB

Datarecovery.hr, odnosno InfoLAB, od 1993. godine spašava podatke s hard diskova, SSD-ova, RAID polja, NAS uređaja, mobitela, USB i flash medija te iz videonadzornih sustava. Jedini smo laboratorij za spašavanje podataka u regiji s certifikatom ISO 9001:2015, a rad s mehanički oštećenim diskovima obavljamo u čistim komorama klase 100/10. Vrijedi naše pravilo “no Data, no Money”: ako podatke ne spasimo, uslugu spašavanja ne naplaćujemo.

Uz spašavanje podataka nudimo i popravak oštećenih datoteka, IT forenziku za analizu incidenata, sigurno brisanje podataka s izdavanjem certifikata te IT servis, održavanje i udaljenu podršku. Ako su Vaši diskovi stradali u napadu ili kvaru, pogledajte usluge spašavanja podataka s HDD, SSD, RAID i NAS uređaja ili nazovite besplatni info telefon 0800 0144 i dogovorite dijagnostiku. Za hitne slučajeve moguća je hitna intervencija.

Česta pitanja

Je li EDR isto što i antivirus?

Nije. Antivirus je preventivni alat koji blokira poznati zlonamjerni softver pri ulasku u sustav. EDR kontinuirano prati ponašanje na uređajima, otkriva i nepoznate prijetnje te omogućuje istragu i odgovor nakon što napad zaobiđe prvu liniju obrane.

Trebam li i antivirus i EDR?

Za tvrtke je kombinacija najčešća preporuka: antivirus blokira poznate prijetnje, a EDR otkriva ono što je prošlo i omogućuje brzu reakciju. Pritom treba uskladiti njihov rad, primjerice odrediti koji je antivirus primaran. Uz oba sloja zaštite potrebne su i provjerene sigurnosne kopije.

Je li Microsoft Defender EDR?

Defender Antivirus ugrađen u Windows je antivirus. Microsoft Defender for Endpoint, poslovna inačica, uključuje i antivirusnu zaštitu nove generacije i EDR te je dio Microsoft Defender XDR ekosustava. Za EDR mogućnosti potrebna je odgovarajuća poslovna licenca.

Može li EDR spriječiti gubitak podataka kod ransomwarea?

EDR može otkriti sumnjivo kriptiranje i izolirati uređaj, čime se šteta često ograničava. Ipak, dio datoteka može biti kriptiran prije reakcije, a EDR ne štiti od mehaničkih kvarova diskova. Ako su važni podaci nedostupni, ne pokušavajte samostalne popravke i obratite se laboratoriju za spašavanje podataka.

Koliko košta EDR za malu tvrtku?

Prema tržišnim procjenama, EDR licence u Europi stoje od 3 do 10 EUR po krajnjoj točki mjesečno, bez troška ljudi koji prate upozorenja. Upravljane usluge s cjelodnevnim nadzorom skuplje su, ali uključuju stručni tim. Konačna cijena ovisi o broju uređaja i opsegu usluge.