२७ सेकेन्ड। आक्रमणकारीले अन्तिम बिन्दुमा प्रवेश गर्न र नेटवर्क मार्फत पार्श्व रूपमा सर्न सुरु गर्न रेकर्डमा सबैभन्दा छिटो समय। २०२५ मा सबै आक्रमणहरूको औसत २९ मिनेट थियो, जुन अघिल्लो वर्षको तुलनामा गतिमा ६५% वृद्धि हो। त्यो विन्डोमा कतै, एक विशुद्ध निवारक उपकरणले पहिले नै दौड गुमाइसकेको छ, चाहे यसले याद गर्यो वा नगरोस्। यो EDR बनाम EPP बहसको मुटु हो, र यो अब सैद्धान्तिक छैन।
EDR बनाम EPP: प्रत्येकले वास्तवमा के गर्छ
ईपीपी (Endpoint Protection प्लेटफर्म) यस कथाको खलनायक होइन। हस्ताक्षर मिलान, मेसिन लर्निङ फाइल स्क्यानिङ, स्यान्डबक्सिङ, फायरवाल र उपकरण नियन्त्रण — यो त्यो तह हो जसले चुपचाप बहुमत कमोडिटी मालवेयरलाई रोक्छ, फिसिङ पेलोडहरू, र ज्ञात ransomware तिनीहरू कार्यान्वयन हुनुभन्दा पहिले नै। प्रत्येक गम्भीर सुरक्षा स्ट्याकलाई अझै पनि यसको आवश्यकता पर्दछ।
तर EDR बनाम EPP तुलनामा, "धेरैजसो ज्ञात खतराहरूलाई ढोकामै रोक्छ" भन्ने कुरा "सबै कुरा समात्छ" जस्तो कहिल्यै पनि प्रतिज्ञा थिएन। त्यो खाडल ठ्याक्कै त्यहीं छ जहाँ २०२५ का सबैभन्दा हानिकारक आक्रमणहरू थिए।
समस्या: रोकथामको सीमा हुन्छ
केही संख्याहरूले केसलाई कुनै पनि पिच डेक भन्दा राम्रो बनाउँछन्:
- २०२५ मा भएका ८२% पत्ता लागेका घटनाहरूमा कुनै पनि मालवेयर समावेश थिएन — आक्रमणकारीहरूले कर्मचारी जस्तै लग इन गर्न चोरी गरिएका, वैध प्रमाणपत्रहरू प्रयोग गरे। स्क्यान गर्न कुनै फाइल छैन र मिलाउन कुनै हस्ताक्षर छैन।
- शून्य-दिन शोषण वर्ष-दर-वर्ष ४२% ले बढ्यो, जसको अर्थ आक्रमणहरूको बढ्दो हिस्सा, परिभाषा अनुसार, पहिलो दिनमै हस्ताक्षर-आधारित प्रतिरक्षाहरूको लागि अदृश्य हुन्छ।
- औसत ब्रेकआउट समय अब २९ मिनेट छ। "आक्रमणकारीले पाइला टेक्छ" र "आक्रमणकारी तपाईंको अर्को मेसिनमा सर्दैछ" बीचको सम्पूर्ण झ्याल यही हो।
- उल्लङ्घन पहिचान गर्न र नियन्त्रण गर्न अझै पनि संस्थाहरूलाई औसत २४१ दिन लाग्छ। — नौ वर्षमा सबैभन्दा राम्रो आंकडा, र अझै पनि वर्षको सबैभन्दा राम्रो भाग।
- २०० दिनभन्दा बढी समयसम्म चल्ने उल्लंघनको औसतमा $५.४९ मिलियन खर्च हुन्छ, जबकि पहिले पक्राउ परेको उल्लंघनको लागि $३.६१ मिलियन खर्च हुन्छ। — लगभग $२ मिलियनको स्विङ पूर्णतया दृश्यता र प्रतिक्रिया गतिद्वारा संचालित।
एकसाथ राख्ने हो भने, यी तथ्याङ्कहरूले EDR बनाम EPP अन्तरको मूल कुरा वर्णन गर्दछ : घुसपैठ जुन रोकथामभन्दा बाहिर जान्छ, त्यसपछि चुपचाप बस्छ, छेउमा सर्छ, र कसैले थाहा पाउनु अघि हप्ताहरूसम्म क्षति पुर्याउँछ। EPP त्यो हेर्नको लागि बनाइएको थिएन। यो ढोका खोल्नबाट रोक्नको लागि बनाइएको हो - भित्र पहिले नै कोही हिंडिरहेको याद नगर्नको लागि।
जहाँ EPP अन्तर वास्तविक घटनाहरूको रूपमा देखा पर्दछ
फाइललेस आक्रमणकारी जसले कहिल्यै फाइल छोड्दैन। लिभिङ-अफ-द-ल्याण्ड प्रविधिहरू - PowerShell, WMI, वैध प्रशासक उपकरणहरू - मेसिनमा पहिले नै विश्वसनीय सफ्टवेयर प्रयोग गरेर पूर्ण रूपमा मेमोरीमा कार्यान्वयन गरिन्छ। हस्ताक्षर-आधारित AV लाई फ्ल्याग गर्नको लागि केहि पनि छैन।
भित्री व्यक्ति, वा प्रमाणपत्र जुन उधारो लिए पनि चोरी हुँदैन। पहिचान-आधारित पहुँच अब प्रमुख प्रविष्टि भेक्टरको साथ, "आक्रमणकारी" प्रायः वास्तविक कर्मचारी जस्तै प्रमाणित गर्दछ। लग इन गरेपछि खाताले के गर्छ भन्ने व्यवहारिक विश्लेषण यो पत्ता लगाउने एक मात्र तरिका हो।
र्यान्समवेयर जसले अन्तिम बिन्दुलाई पूर्ण रूपमा छोड्छ। परिष्कृत र्यान्समवेयर टोलीहरू बढ्दो रूपमा भर्चुअलाइजेशन तहहरू (ESXi र समान) मा सिधै तैनाथ हुन्छन्, जसले प्रयोगकर्ता अन्तिम बिन्दुहरू भन्दा कम निगरानी गर्दछ।
२९ मिनेटको समस्या। EPP ले केहि फ्ल्याग गर्दा पनि, यदि त्यो विन्डोमा कुनै स्वचालित कन्टेनमेन्ट छैन भने, मानिसले हेर्दा आक्रमणकारी नेटवर्कमा तीन गहिरो हाम फालिसकेको हुन्छ।
कुनै प्रमाण ट्रेल बिनाको अनुसन्धान। EPP लगहरूले तपाईंलाई फाइल ब्लक गरिएको बताउँछन्। तिनीहरूले तपाईंलाई प्रक्रिया रूख, समयरेखा, वा सहसम्बन्धित घटना दिँदैनन्।
EDR बनाम EPP: यो खाडल हो EDR बन्द हुन्छ
Endpoint Detection and Response रोकथामलाई प्रतिस्थापन गर्दैन — यसले थप्छ कि वाक्य रोकथामको दोस्रो भाग हराइरहेको थियो: अन्त्य बिन्दुमा भइरहेको सबै कुरामा निरन्तर दृश्यता, र अनुसन्धान गर्न र छिटो कार्य गर्न उपकरणहरू। यो कुनै पक्ष छनौट गर्ने बारे होइन; यो रोकथाम पहिचान गर्ने र विभिन्न समस्याहरू समाधान गर्ने बारे हो।
Seqrite EDR त्यो दोस्रो हाफ वरिपरि बनाइएको छ। माथिका खाली ठाउँहरूमा सिधै नक्सा गर्ने केही क्षमताहरू:
- पूर्ण घटना र अलर्ट टेलिमेट्री, कच्चा, समृद्ध डेटा सर्भरमा स्ट्रिम गरिएको, केवल एक पातलो अलर्ट मात्र होइन ताकि अनुसन्धानकर्ताहरूले वास्तवमा के भयो भनेर पुनर्निर्माण गर्न सकून्।
- ७ दिनसम्मको खोजीयोग्य ऐतिहासिक डेटाको साथ, घटनाहरू र अलर्टहरूमा खतरा खोजी, ताकि सुरक्षा टोलीहरूले ठूलो स्वरमा केही ट्रिगर हुने प्रतीक्षा गर्नुको सट्टा शान्त, फाइलरहित घुसपैठलाई सक्रिय रूपमा खोजी गर्न सकून्।
- अन्तिम बिन्दुहरूबाट सिधै वास्तविक-समय डेटा सङ्कलनको लागि प्रत्यक्ष प्रश्न, २९ मिनेटको ब्रेकआउट समयले माग गर्ने मिनेट-म्याटरि विन्डोलाई ठ्याक्कै बन्द गर्दै।
- घटना सहसम्बन्ध र प्रक्रिया-रूख दृश्यावलोकन सहितको अनुसन्धान कार्यक्षेत्र, विच्छेदन गरिएका अलर्टहरूलाई समयरेखाको साथ एउटा घटनामा परिणत गर्दै।
- एक सहसंबंध इन्जिन प्लस MITER ATT&CK म्यापिङ, किल चेनमा कमजोर संकेतहरूलाई एकल वर्गीकृत खतरामा जोड्दै।
- रिमोट फोरेन्सिक स्क्रिप्टिङ मेसिनमा कोही नपुगुन्जेलसम्म पर्खेर शंकास्पद अन्त्य बिन्दुमा ट्राइएज र प्रमाण सङ्कलनको लागि।
- स्वचालित उपचार — आइसोलेट गर्नुहोस्, मार्नुहोस् प्रक्रिया गर्नुहोस्, पुनर्स्थापित गर्नुहोस् ताकि नियन्त्रण २९ मिनेटमा मानिस ब्यूँझनुमा निर्भर नहोस्।
- अनुकूलन नियम सिर्जना र MISP खतरा-इन्टेल एकीकरण, टोलीहरूलाई आफ्नै वातावरणमा पत्ता लगाउन ट्युन गर्न दिन्छ।
EDR बनाम EPP: निर्णय
EPP ले जवाफ दिन्छ “के हामीले यसलाई रोक्यौं?” EDR ले जवाफ दिन्छ “यदि हामीले रोकेनौं भने, के हामीलाई थाहा छ, र हामी यो फैलिनु अघि कारबाही गर्न सक्छौं?” यस्तो खतरापूर्ण परिदृश्यमा जहाँ ३० मिनेट भन्दा कम समयमा ब्रेकआउट हुन्छ र उल्लंघनहरू पत्ता लगाउन अझै महिनौं लाग्छ, एउटा अन्तिम बिन्दु रणनीति जसले पहिलो प्रश्नको जवाफ मात्र दिन सक्छ त्यो एक आँखा बन्द गरेर सञ्चालन गर्नु हो।
यो EDR बनाम EPP प्रश्न यो होइन कि कुन राख्ने, प्रश्न यो हो कि तपाईं तिनीहरू बीचको खाडल कति छिटो पूरा गर्नुहुन्छ। Seqrite EDR लाई दोस्रो आँखाको रूपमा डिजाइन गरिएको छ: पूर्ण दृश्यता, छिटो अनुसन्धान, र स्वचालित प्रतिक्रिया जुन तपाईंले पहिले नै विश्वास गर्नुभएको रोकथामको माथि सिधै तहमा राखिएको छ।
सित कुरागर्नु Seqrite EPP-मात्रबाट EPP + EDR मा सर्ने बारे — रिप-एन्ड-रिप्लेसको रूपमा होइन, तर पहिलो तीस मिनेट पछि के हुन्छ भनेर वास्तवमा देख्न सक्ने रक्षाको हराएको आधाको रूपमा।
