Инвентарь хостов
ОС, IP, нагрузка, последний сигнал. Для доменных Windows — домен, пользователь и OU из Active Directory.
EDRмодуль SOC-платформы Пабион
EDR Пабион: что происходит на каждом компьютере компании
Агент Pabion следит за процессами, сетью и состоянием хоста и выполняет команды аналитика. Подозрительная цепочка процессов становится алертом, а заражённую станцию можно отключить от сети одной кнопкой — канал к SOC при этом сохраняется.
Первый компьютер под защитой — бесплатно. EDR входит в Pabion вместе с остальными модулями.
Возможности
Что умеет EDR в Пабион
Детекция по поведению
Правила по имени процесса, пути и аргументам запуска. Подозрительные цепочки переводят станцию в статус «под угрозой».
Изоляция хоста
Isolate отключает станцию от сети, оставляя связь с консолью Pabion. Unisolate возвращает доступ после расследования.
Команды агенту
Остановка процесса, карантин файла и сканирование запускаются вручную или плейбуком SOAR.
- 1Агент ставится одной командой или групповой политикой AD на весь парк Windows.
- 2Каждые 30 секунд агент отправляет heartbeat: состояние, процессы, сеть.
- 3Правила EDR и корреляция SIEM находят подозрительное поведение.
- 4Аналитик или плейбук отправляет команду — она выполняется на станции при следующем heartbeat.
- 5Нет сигнала дольше двух минут — станция помечается как Offline.
Сценарии
Что это значит на практике
Троян на бухгалтерском ПК
Агент видит запуск подозрительного процесса из вложения — хост изолируется, файл уходит в карантин, создаётся инцидент.
Шифровальщик в начале атаки
Массовые изменения файлов и необычный процесс — плейбук останавливает процесс до того, как пострадают сетевые папки.
Инвентаризация парка
Сразу после установки видно, какие компьютеры работают, на какой ОС и кто за ними сидит.
Вопросы
Частые вопросы о EDR
Какие ОС поддерживаются?+
Windows, macOS и Linux. Для изоляции и системного прокси агенту нужны права администратора.
Можно ли развернуть агент на сотни компьютеров?+
Да, через групповую политику Active Directory: startup-скрипт ставит агент на все компьютеры в OU.
Это замена антивирусу?+
EDR дополняет антивирус: он видит поведение и цепочки событий, связывает их с другими модулями и даёт инструменты реагирования.
Подключите EDR Пабион
Регистрация за пару минут, первый компьютер — бесплатно. Все модули работают с одного агента.