Endpoint Security (EDR)

Endpoint security er den samlede betegnelse for værktøjer der beskytter de enkelte enheder i virksomhedens netværk, computere, servere, telefoner og tablets, mod malware, ransomware og andre trusler. Hvor traditionel antivirus kun genkender kendte trusler ud fra signaturer, går moderne endpoint-løsninger et skridt videre og analyserer adfærd i realtid for at fange angreb der aldrig er set før.

Kernebegrebet i moderne endpoint security er EDR, endpoint detection and response. I stedet for kun at spærre en fil der matcher en kendt virussignatur, overvåger EDR løbende hvad der sker på enheden. Hvis en proces pludselig begynder at kryptere store mængder filer, oprette forbindelse til mistænkelige servere eller ændre systemindstillinger på en måde der ligner et angreb, griber EDR ind automatisk. Processen kan stoppes, og enheden kan isoleres fra resten af netværket, før skaden spreder sig til andre systemer.

Sådan fungerer det i praksis. En lille agent installeres på hver enhed og sender løbende data om processer, netværkstrafik og filaktivitet til en central konsol. Konsollen bruger adfærdsanalyse og ofte maskinlæring til at vurdere om aktiviteten er normal eller mistænkelig. Ved en reel trussel alarmeres IT-teamet med det samme, og mange løsninger kan reagere automatisk uden at vente på menneskelig indgriben, hvilket er afgørende når et ransomware-angreb kan kryptere tusindvis af filer på få minutter.

Hvad indgår typisk i en endpoint security-løsning. Malware- og ransomware-beskyttelse er grundstenen, suppleret med adfærdsbaseret detektion der fanger ukendte trusler. De fleste løsninger inkluderer også en forenklet firewall på selve enheden, beskyttelse mod udnyttelse af sårbarheder i almindelige programmer, og mulighed for fjernisolering af en kompromitteret maskine direkte fra konsollen. Centraliseret rapportering giver IT-afdelingen eller leverandøren et samlet overblik over sikkerhedstilstanden på tværs af alle enheder, hvilket er langt mere effektivt end at skulle tjekke hver enkelt computer manuelt.

Prisen for endpoint security ligger typisk mellem 50 og 150 kr. per enhed per måned afhængigt af funktionsniveau. Løsninger med kun grundlæggende antivirus-funktioner ligger i den lave ende, mens fuld EDR med automatisk respons og 24/7 overvågning fra et security operations center ligger i den høje ende. For de fleste danske SMV'er er investeringen hurtigt tjent hjem sammenlignet med omkostningerne ved et vellykket ransomwareangreb, som ofte løber op i flere millioner kroner når nedetid og genopretning medregnes.

Ved valg af endpoint security bør I overveje om løsningen dækker alle jeres platforme. Mange virksomheder har en blanding af Windows, macOS og enkelte Linux-servere, og ikke alle løsninger har lige stærk understøttelse på tværs af alle tre. Spørg også ind til om alarmering og respons foregår automatisk, eller om det kræver at nogen aktivt overvåger konsollen. For virksomheder uden egen IT-afdeling er en managed EDR-løsning, hvor leverandøren selv overvåger og reagerer på alarmer døgnet rundt, ofte den mest realistiske model.

Endpoint security erstatter ikke andre sikkerhedstiltag, men supplerer dem. Multi-faktor-godkendelse forhindrer uautoriseret adgang i første omgang, patch management lukker de sårbarheder angribere ellers ville udnytte, og backup sikrer at data kan gendannes hvis noget alligevel går galt. Endpoint security er det lag der fanger angrebet, mens det sker, og er derfor særligt værdifuldt mod trusler der endnu ikke er kendt af signaturbaserede systemer.

De mest udbredte endpoint security-løsninger til danske virksomheder inkluderer Microsoft Defender for Endpoint, som er et naturligt valg for virksomheder der allerede bruger Microsoft 365 og kan opgraderes gradvist fra den indbyggede beskyttelse. CrowdStrike Falcon er markedsleder inden for ren EDR med stærk adfærdsanalyse og bruges ofte af virksomheder med skærpede sikkerhedskrav. SentinelOne tilbyder autonom respons hvor enheden selv kan rulle tilbage ændringer foretaget af et angreb, og Sophos Intercept X er populært blandt danske SMV'er for sin balance mellem pris og funktionalitet.

Falske positiver er en praktisk udfordring ved adfærdsbaseret detektion, som er værd at kende inden man vælger løsning. Fordi EDR reagerer på mønstre og ikke kun kendte signaturer, kan legitime programmer der opfører sig usædvanligt, for eksempel et backup-program der pludselig læser store mængder filer, i sjældne tilfælde blive flagget som mistænkelige. Modne løsninger lærer af disse hændelser over tid og reducerer antallet af falske alarmer, men det kræver en indkøringsperiode på typisk 2-4 uger efter installation, hvor IT-teamet finjusterer reglerne til jeres specifikke miljø.

For virksomheder uden egen sikkerhedsafdeling er MDR, managed detection and response, ofte den mest realistiske vej til reel beskyttelse. MDR kombinerer EDR-teknologien med et team af sikkerhedsanalytikere der overvåger alarmer døgnet rundt og reagerer på jeres vegne. Uden den menneskelige overvågning ender mange EDR-installationer med at generere alarmer som ingen ser før det er for sent, fordi den interne IT-medarbejder har travlt med den daglige drift og ikke har tid til at sidde med en sikkerhedskonsol. MDR koster typisk et tillæg på 20-40 kr. per enhed per måned oven i selve EDR-licensen, men er ofte forskellen på om et angreb stoppes efter minutter eller opdages dage senere.

Implementering bør altid ske gradvist frem for at rulle den nye løsning ud til alle enheder på én gang. Start med en mindre gruppe testmaskiner, gerne på tværs af de forskellige afdelinger og enhedstyper I har i virksomheden, og lad løsningen køre i overvågningstilstand i et par uger før den sættes til at reagere automatisk. Det giver IT-teamet mulighed for at se hvilke normale arbejdsgange der ellers ville udløse falske alarmer, og undgår at en for aggressiv opsætning blokerer legitimt arbejde allerede fra første dag.