Антивирус и EDR для небольшой компании: что выбрать и как внедрить
Антивирус ищет известную вредоносную программу, а современная атака часто начинается с легитимных инструментов: сценарии PowerShell, украденные учётные данные, удалённые утилиты администрирования. Поэтому к антивирусу добавляют EDR (endpoint detection and response): он собирает события с устройств, замечает подозрительное поведение и позволяет реагировать, например изолировать узел. Ниже сравнение классов, критерии выбора, порядок внедрения и проверка.
Статья опирается на логику направления «Безопасность конечных устройств» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Конкретные продукты названы как примеры классов, не как рекомендация; сертификацию и требования к средствам защиты в вашей области (КИИ, ПДн, ГИС) уточняйте отдельно.
Что должно получиться
| Уровень | Что это значит на практике |
|---|---|
| 1. Базовый | Серверы и рабочие станции обновляются, есть базовая защита и настройка |
| 2. Гигиенический | Есть эталонная конфигурация и проверка отклонений, диски ноутбуков зашифрованы, обновления под контролем; защита работает на всех устройствах и сообщает о событиях |
Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.
Классы решений
| Класс | Что делает | Когда достаточно |
|---|---|---|
| Антивирус (EPP) | Блокирует известные вредоносные программы по сигнатурам и эвристике, проверяет файлы, веб и почту | Небольшой парк, нет требований к расследованиям, остальные меры соблюдены |
| EDR | Непрерывно записывает события процессов, сети, реестра и файлов; обнаруживает подозрительное поведение; позволяет изолировать узел, завершить процесс, собрать данные | Есть данные, которые стоит защищать от целевых атак; есть люди, которые будут разбирать срабатывания |
| XDR/MDR | Объединяет события с разных источников; MDR — это услуга, когда сторонние аналитики наблюдают за срабатываниями | Нет своей команды ИБ, а требуется круглосуточное наблюдение |
Встроенная защита Windows (Microsoft Defender Antivirus) закрывает базовый уровень при включённых и обновляемых компонентах: hardening Windows. На Linux-серверах классический антивирус нужен реже; важнее контроль целостности, мониторинг и ограничение прав.
Критерии выбора
| Критерий | Что спросить |
|---|---|
| Покрытие систем | Поддерживаются ли ваши ОС (Windows, Linux, macOS), версии, виртуальные среды |
| Обнаружение и реагирование | Видит ли поведение, а не только файлы; можно ли изолировать узел, собрать данные и откатить изменения |
| Управление | Единая консоль, группы, политики, обновление агентов, отчёты |
| Нагрузка | Влияние на производительность, работа на старом оборудовании |
| Журналы и интеграции | Передача событий в систему сбора (SIEM, Wazuh): сбор логов |
| Сертификация и требования регуляторов | Нужны ли сертифицированные средства защиты для вашей области (КИИ, ГИС, ПДн) |
| Поддержка и локализация | Язык, время реакции, где хранятся данные консоли и события (учитывайте требования о данных) |
| Стоимость владения | Лицензии, консоль, время специалистов на разбор срабатываний |
Открытые и комбинированные варианты
- Wazuh. Открытая платформа с агентами для Windows, Linux и macOS: сбор событий, контроль целостности, оценка конфигурации, обнаружение уязвимостей и активные ответные действия. Подходит как основа наблюдения за узлами при наличии времени на настройку: Wazuh в Docker, SOC и SIEM. Это не полноценная замена коммерческому EDR по возможностям блокирования и аналитики поведения, но закрывает наблюдаемость.
- Встроенная защита ОС плюс сбор событий. Defender на Windows и штатный аудит с отправкой на сервер сбора дают приемлемую базу для небольшой компании.
- Коммерческий EDR. Даёт готовую аналитику поведения и удобные действия реагирования; требует лицензий и человека, который разбирает срабатывания.
Шаг 1. Составьте перечень устройств
Защита должна покрывать все узлы, иначе атака идёт через незащищённый. Возьмите перечень из реестра активов: реестр ИТ-активов; проверьте сверкой с сетью. Определите группы: серверы, рабочие станции, ноутбуки, устройства администраторов.
Шаг 2. Пилот на небольшой группе
- Выберите 10–20 устройств разных типов, включая сервер и ноутбук администратора.
- Установите агент и включите политику в режиме наблюдения (без блокирования).
- Две недели собирайте срабатывания и жалобы, формируйте список исключений для рабочих программ.
- Включите блокирование для проверенных категорий и оцените влияние на работу.
Шаг 3. Настройте политики
- Защита в реальном времени, облачные проверки и самозащита агента включены; пользователям запрещено отключать защиту.
- Исключения минимальные. Каждое исключение имеет владельца, причину и срок пересмотра: исключения чаще всего используют нарушители.
- Серверные политики отдельные. Для серверов с критичными службами сначала режим наблюдения, затем блокирование.
- Обновление сигнатур и агентов автоматическое, контроль устаревших версий в консоли.
- Защита от подделки и удаления агента (защита паролем, проверка целостности).
Шаг 4. Определите реагирование
| Срабатывание | Действие | Кто |
|---|---|---|
| Обнаружен и заблокирован известный вредонос | Проверка устройства, поиск источника, запись в журнал инцидентов | ИТ |
| Подозрительное поведение (запуск сценариев, дамп учётных данных, шифрование файлов) | Изоляция узла средствами консоли, сбор данных, оповещение ответственного за ИБ | ИБ |
| Срабатывания на нескольких узлах | Подозрение на распространение: эскалация и действия по плану: первые 24 часа | Руководитель инцидента |
Заранее проверьте, что кнопка изоляции работает и сеть узла отрезается без потери связи с консолью. Назначьте дежурного, который просматривает срабатывания в рабочие часы, и порядок на выходные. Без человека, который читает оповещения, EDR превращается в архив событий.
Шаг 5. Проверьте покрытие и работоспособность
- В консоли доля устройств с активным агентом и свежими сигнатурами должна приближаться к 100% от реестра активов.
- Проверьте тестовым безвредным файлом EICAR (стандартная тестовая строка антивирусов), что защита срабатывает и событие попадает в консоль и систему сбора.
- Раз в квартал сверяйте реестр активов с консолью: неучтённые узлы без агента — первые кандидаты на проблемы.
- Периодически проверяйте исключения и удаляйте ненужные.
Команда на Windows для проверки состояния Defender: Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated; ожидается включённая защита и свежие сигнатуры.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Много ложных срабатываний на рабочих программах | Не настроены исключения. Добавьте точечные исключения по хэшу или пути с владельцем и сроком |
| Агент не установился на часть узлов | Нет доступа или старая ОС. Найдите их по сверке с реестром, обновите или изолируйте |
| Срабатывания никто не читает | Нет ответственного. Назначьте дежурного и порядок, настройте оповещения на почту или в чат |
| Серверы тормозят после установки | Проверка файлов в нагруженных каталогах. Настройте исключения для баз данных и каталогов приложений по рекомендациям вендора |
Где это в модели зрелости
Материал относится к направлению «Безопасность конечных устройств» (материалы направления, карта зрелости). Уровень 1 закрывают обновления и базовая защита, уровень 2 добавляет эталонную конфигурацию, контроль отклонений и защиту, которая работает на всех устройствах и сообщает о событиях.
Как проверить
- Защита установлена на всех устройствах из реестра, агенты и сигнатуры актуальны.
- Тестовый файл EICAR вызывает срабатывание и событие видно в консоли.
- Исключения записаны с владельцами и сроками пересмотра.
- Назначен дежурный по срабатываниям, изоляция узла проверена на тестовом устройстве.
Источники
- Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
- NIST SP 800-83 Rev. 1, Guide to Malware Incident Prevention and Handling for Desktops and Laptops: csrc.nist.gov. Международная практика, не российский норматив.
- Документация Wazuh: documentation.wazuh.com.
