Honeycorn | Система кибериллюзий
HoneyPot vs EDR: в чем принципиальная разница
Современные киберугрозы требуют от компаний не только предотвращения атак, но и своевременного выявления злоумышленников, которые уже проникли в инфраструктуру.
EDR и HoneyPot решают эту задачу по-разному.
EDR анализирует активность рабочих станций и серверов: запуск процессов, обращения к файлам, сетевые соединения и другие события. На основе правил, аналитики и поведенческих моделей система выявляет признаки вредоносной активности и помогает специалистам реагировать на инциденты.
При этом EDR работает с большим объемом событий и требует постоянной настройки и тюнинга, чтобы отделять легитимную активность от действительно подозрительной.
HoneyPot работает иначе
Технология предполагает создание цифровых ловушек — имитаций серверов, сервисов, учетных записей и других ресурсов, которые выглядят привлекательными для злоумышленника, но не используются в штатной работе организации.
Поэтому само взаимодействие с таким объектом уже может быть значимым сигналом о разведке, попытке проникновения или развитии атаки.
В этом и заключается главное отличие подходов:
EDR ищет признаки вредоносной активности в потоке легитимных событий.
HoneyPot создает среду, в которой любое взаимодействие с ложным объектом уже требует внимания.
HoneyCorn позволяет использовать распределенную сеть киберловушек как дополнительный уровень обнаружения угроз, расширяя возможности существующих средств защиты.
В следующем посте разберем, что именно такая схема дает SOC на практике.
#HoneyCorn #EDR #Deception Если у вас установлено приложение,
вы можете сразу перейти в канал