EDR / Conceitos e principais funções

EDR (Endpoint Detection and Response, detecção e resposta em endpoints) coleta e analisa atividades de PCs e servidores para identificar ameaças e apoiar investigações e ações como o isolamento de dispositivos. Além de avaliar se um arquivo é malicioso, correlaciona processos, comunicações e alterações para entender o que aconteceu e até onde o impacto chegou.

Papel do EDR e diferença em relação ao antivírus

Um endpoint é um dispositivo no qual dados e programas são utilizados, como o PC ou notebook de um funcionário ou um servidor de negócios. O EDR normalmente combina um sensor ou agente local com gerenciamento e análise centralizados. Verifique os sistemas operacionais e a cobertura de servidores e ambientes virtuais no produto e no contrato.

O antivírus se concentra em prevenir e bloquear malware; o EDR enfatiza a visibilidade das atividades e a investigação e resposta a comprometimentos. Porém, antivírus modernos também usam análise comportamental e em nuvem: a divisão “antivírus só usa assinaturas, EDR só analisa comportamento” é imprecisa. As funções podem estar integradas no mesmo produto. A visão das funções de segurança de endpoints da Microsoft apresenta antivírus de nova geração e EDR como recursos distintos e complementares.

O PowerShell, por exemplo, é uma ferramenta legítima de administração. Se um aplicativo de documentos o iniciar inesperadamente e houver comunicação com um endereço desconhecido, existe um contexto a investigar. Analise caminho de execução, linha de comando, conta e atividades posteriores em conjunto. O nome do programa ou essa combinação não confirma, por si só, um comprometimento.

Quais informações são coletadas e correlacionadas?

Os dados de atividade coletados para análise de segurança são chamados de telemetria. Os itens abaixo são exemplos comuns, sem garantir coleta idêntica em todos os produtos e dispositivos.

• Processos: caminho do executável, horário de execução, linha de comando e relações entre processos pai e filho. A árvore de processos mostra qual programa iniciou outro.
• Arquivos: criação, alteração, execução e hashes ajudam a rastrear arquivos suspeitos e caminhos afetados. Um hash identifica ou compara arquivos; seu valor isolado não prova que um arquivo seja malicioso.
• Rede: a correlação entre processos, endereços e portas de destino ajuda a investigar comunicações. Registros de conexão não revelam necessariamente todo o conteúdo transmitido ou todos os dados exfiltrados.
• Alterações no sistema: mudanças no Registro do Windows e na inicialização podem apoiar a análise de persistência. Os dados disponíveis variam conforme o sistema operacional.
• Atividades de contas: logins e contas de execução são relacionados a outras atividades. Registros de autenticação e email de toda a organização podem exigir fontes ou integrações adicionais.

A linha do tempo e a árvore de processos ajudam a separar a execução inicial das alterações posteriores. Entretanto, a visão geral de EDR da Microsoft esclarece que ele não é um log de auditoria de todas as operações. A ausência de evidências não comprova normalidade: confira coleta, saúde do sensor, retenção e logs adicionais.

Principais funções de detecção, investigação e resposta

Os nomes variam entre produtos, mas normalmente há uma combinação dos recursos abaixo. Automação, aprovações e ações disponíveis dependem do sistema operacional, da licença e das políticas.

• Detecção e priorização: a análise de comportamento e a inteligência de ameaças geram alertas. Agrupar alertas relacionados em incidentes facilita investigar impactos em vários dispositivos. A gravidade alta não elimina a necessidade de verificar evidências.
• Investigação e busca: linhas do tempo, árvores de processos e pesquisas ajudam a estabelecer causa e alcance. Também permitem procurar o mesmo hash ou destino em outros dispositivos, em atividades de caça a ameaças.
• Contenção: pode incluir isolamento de rede, interrupção de processos e quarentena de arquivos. A quarentena impede a execução do arquivo; o isolamento do dispositivo restringe comunicações. Os alvos e impactos operacionais são diferentes.
• Registro das ações: documente quem solicitou cada ação e se ela teve sucesso, falhou ou está pendente. Acionar um botão ou uma política automática não equivale a confirmar a conclusão.

O isolamento pode limitar a propagação, mas também interromper acesso remoto e serviços de negócio. Confira como preservar a comunicação de gerenciamento, as restrições de redes privadas virtuais (VPNs) e proxies e o procedimento para liberar o dispositivo. Consulte a documentação do produto, como o guia de ações de resposta em dispositivos da Microsoft.

Exemplo: investigação de um alerta de documento suspeito

Este fluxo hipotético trata de um aplicativo de documentos que inicia uma ferramenta de scripts e contata um endereço externo. Não é um incidente real nem um teste de produto; adapte-o aos procedimentos de resposta aprovados pela organização.

1. Confirme alvo e horário. Registre dispositivo, usuário, horário e fuso do alerta. Verifique se o sensor envia dados atuais e compare identificadores para não investigar outro dispositivo com o mesmo nome.
2. Relacione o contexto de execução. Examine aplicativo, processos filhos, linha de comando e destinos na linha do tempo. Compare com atividades do usuário e alterações administrativas para avaliar automações legítimas. Não execute arquivos suspeitos em um PC de trabalho.
3. Contenha conforme o risco. Se a atividade maliciosa continuar ou houver risco de propagação, os responsáveis devem avaliar o impacto nos negócios e escolher medidas como isolamento. Preserve evidências necessárias e confirme resultados e motivos de falha.
4. Amplie a investigação. Procure os mesmos arquivos, endereços e comportamentos em outros dispositivos e correlacione registros de autenticação e email. A ausência de alertas em uma máquina não garante que contas e outros sistemas estejam seguros.
5. Verifique recuperação e recorrência. Remova a causa, aplique correções e medidas nas contas e valide a recuperação antes de liberar o isolamento pelo processo aprovado. Confira serviços e novos alertas e registre a justificativa das decisões.

O resultado precisa ir além de encerrar o alerta. Documente evidências, dispositivos e contas afetados, ações realizadas e incertezas restantes para que outra pessoa possa continuar o atendimento.

Limitações e problemas que o EDR não resolve

Sensores ausentes ou parados, falhas de conexão e retenção curta criam lacunas. Atividades administrativas legítimas podem gerar alertas, e ataques podem passar despercebidos. Exclusões excessivas reduzem a visibilidade: gerencie escopo, justificativa e prazo de revisão.

Isolar um dispositivo ou excluir um arquivo não recupera dados roubados nem restaura automaticamente arquivos criptografados. O EDR não substitui atualizações, privilégio mínimo, autenticação multifator (MFA) e backups. O guia de ransomware da CISA, do FBI e de parceiros (PDF) também recomenda backups isolados, testes de recuperação e planejamento de resposta.

Pessoas ainda precisam investigar alertas e tomar decisões. Se a capacidade interna for insuficiente, avalie um serviço de detecção e resposta gerenciadas (MDR, Managed Detection and Response). Defina em contrato horários de monitoramento, autoridade para ações, transferência de incidentes e responsabilidade pela recuperação. A compra do EDR não inclui automaticamente esses serviços.

Critérios para verificar antes da implantação

Além de listas de produtos e promessas de taxas de detecção, confirme se a organização consegue operar a solução. Um ambiente pequeno de testes autorizados ajuda a verificar os pontos abaixo antes da expansão.

• Cobertura: compare o inventário de PCs e servidores com os sistemas e versões compatíveis. Verifique a saúde do sensor e a última comunicação, não apenas a instalação.
• Impacto nos negócios: avalie uso de CPU, memória e disco, latência e conflitos com os aplicativos reais. Confira a coexistência com outros produtos de segurança.
• Dados de investigação: valide campos coletados, pesquisa, retenção, exportação e integrações. Como podem existir linhas de comando e informações de usuários, revise permissões de acesso e locais de armazenamento.
• Autoridade e recuperação: defina quem aprova isolamento ou interrupção e como tratar servidores críticos. Use testes seguros do fornecedor para verificar geração de alertas, notificação, status das ações e liberação do isolamento.
• Custo operacional: inclua pessoal para análise, treinamento, armazenamento adicional de logs e serviços externos, além das licenças. Responsáveis definidos e procedimentos de transferência transformam detecção em resposta efetiva.