הגנה על התחנה עצמה, ומישהו שקורא את ההתראות

אנטי‑וירוס קלאסי מזהה קבצים מוכרים לפי חתימה. EDR עוקב אחרי התנהגות בתחנה — אילו תהליכים רצו, מה הם ניסו לשנות ולאן פנו — ולכן הוא מזהה גם תקיפות שלא ראו קודם, ומאפשר לחקור מה קרה אחרי האירוע. ברוב הארגונים התשובה הנכונה היא לא לבחור, אלא לפרוס פלטפורמה שעושה את שניהם.

ILS Networks היא שותפה רשמית של Sophos, ESET ושל SentinelOne. הבחירה בין הפלטפורמות נגזרת מהסביבה: מספר התחנות והשרתים, מערכות ההפעלה בפועל, דרישות הרגולציה ומי מתפעל את המערכת ביום‑יום.

כן. מדיניות שמכסה רק את תחנות העבודה משאירה את השכבה שבאמת מחזיקה את הנתונים חשופה. הפריסה מתוכננת כך שתחנות, שרתים וסביבות וירטואליות פועלים תחת אותה מדיניות ואותו ניהול.

שכבת הקצה ושכבת הרשת אמורות לספר את אותו סיפור. אנחנו מתכננים אותן יחד — סגמנטציה ברשת, חומות אש בשוליים והגנת קצה בתוך התחנה — כך שאירוע נראה מאותה זווית בשתי השכבות ולא נופל בין הכיסאות.

EDR היא הפלטפורמה — מה שרץ על התחנה, מזהה התנהגות חריגה ומאפשר לחקור אותה. MDR הוא מי שמפעיל אותה בשבילכם. בשירות ה‑MDR שלנו אנחנו מטמיעים את הפלטפורמה (Sophos או ESET), מגדירים ומכווננים את המדיניות, ומחברים את ההתראות אלינו — כך שכשמשהו נדלק, אנחנו יודעים עליו מיד ומטפלים: בידוד התחנה, בירור מה קרה, ניקוי וסגירת הפרצה. בלי זה, EDR הוא רישיון שאיש לא קורא.

לא, ואנחנו מעדיפים להגיד את זה מראש. אין אצלנו חמ"ל מאויש עם אנליסטים במשמרות. מה שכן יש: זיהוי שרץ ברציפות על הפלטפורמה, התראות שמחווטות להגיע אלינו ברגע שהן נדלקות, ותמיכה שמטפלת באירוע. בפועל, על אירוע אמיתי אנחנו יודעים מיד. אם הארגון שלכם חייב חמ"ל מאויש בגלל רגולציה או דרישת לקוח — נגיד לכם את זה בשיחה הראשונה במקום למכור לכם משהו אחר.

זה נקבע מראש. אצל חלק מהלקוחות הצוות הפנימי מתפעל ואנחנו מלווים; אצל אחרים התפעול נכלל בשירות ה‑IT המנוהל שלנו או בשירות ה‑MDR. מה שחשוב הוא שיוגדר מי מסתכל על ההתראות — מערכת EDR שאיש לא קורא היא רישיון, לא הגנה.

כן. ILS Networks היא חברת תשתיות IT ישראלית, ושותפה רשמית של Sophos, ESET ו‑SentinelOne.

אנטי וירוס מזהה קובץ זדוני שהוא כבר מכיר; EDR עוקב אחרי התנהגות על התחנה ומזהה גם תקיפה שלא נראתה קודם — תהליך שמצפין קבצים, כלי לגיטימי שמשמש לחדירה, חיבור חריג החוצה. EDR גם שומר תיעוד שמאפשר להבין בדיעבד מה קרה. אנחנו מטמיעים ESET ו‑SentinelOne בשכבה הזו.

לא לבדה. הגנת קצה מזהה ועוצרת הרבה, אבל תרחיש כופרה מלא נבלם בשילוב של כמה שכבות: סגמנטציה שמונעת התפשטות ברשת, בקרת גישה שמצמצמת הרשאות, גיבוי עם עותק שלא ניתן למחיקה מהתחנה שנפגעה, ובדיקת שחזור שמוכיחה שהגיבוי עובד. אנחנו בונים את השכבות האלה יחד ולא בנפרד.