שירות EDR, אנטי-וירוס או XDR: מה מתאים לעסק?

מה ההבדל בין אנטי-וירוס, EDR, XDR ושירות EDR מנוהל? אנטי-וירוס חוסם איומים מוכרים על המחשב. מערכת EDR מתעדת את מה שקורה בכל מחשב ושרת, מזהה התנהגות חשודה ומאפשרת לחקור ולבלום מתקפה. XDR מחבר את המידע הזה למקורות נוספים, כמו דואר, רשת וענן. שירות EDR מנוהל, שנקרא MDR, מוסיף צוות אנליסטים שעוקב אחרי ההתראות ומגיב להן בשבילכם. לעסק קטן או בינוני, השאלה המרכזית היא מי יסתכל על ההתראות, ולא איזה ראשי תיבות לבחור.

המדריך הזה מסדר את המונחים, משווה ביניהם, ומציע דרך מעשית לבחור רמת הגנה לפי גודל העסק והיכולת שלו לתפעל אותה.

ארבעת המונחים בקצרה

• אנטי-וירוס (AV), ובגרסה המודרנית EPP: תוכנה שמותקנת על המחשב ועוצרת קבצים ופעולות זדוניים לפני שהם רצים. הדורות החדשים משלבים גם זיהוי התנהגותי ולמידת מכונה, לא רק חתימות.
• EDR, ראשי תיבות של Endpoint Detection and Response: מערכת שאוספת באופן רציף נתונים מתחנות הקצה, מזהה רצף פעולות חשוד, ומאפשרת לחקור אירוע ולהגיב לו, למשל לבודד מחשב מהרשת.
• XDR, ראשי תיבות של Extended Detection and Response: הרחבה של אותו רעיון למקורות נוספים. המערכת מצליבה אירועים מתחנות קצה, שרתים, דואר, זהויות וענן לתמונה אחת.
• MDR, ראשי תיבות של Managed Detection and Response: שירות ולא מוצר. צוות חיצוני מתפעל את מערכת ה-EDR או ה-XDR, מסנן התראות, חוקר ומגיב.

מי שרוצה הסבר יסודי יותר על המונח עצמו יכול לקרוא את המדריך מה זה EDR.

טבלת השוואה

	אנטי-וירוס / EPP	EDR	XDR	MDR
מה זה	מוצר	מוצר	מוצר	שירות
מטרה עיקרית	מניעה	זיהוי, חקירה ותגובה	זיהוי ותגובה על פני כמה מערכות	תפעול מלא של הזיהוי והתגובה
על מה הוא מסתכל	קבצים ותהליכים במחשב	כל הפעילות בתחנות קצה ובשרתים	תחנות קצה, דואר, רשת, זהויות, ענן	מה שהמערכת שמתחתיו רואה
מי מגיב להתראה	התוכנה, אוטומטית	אתם	אתם	צוות השירות
מה נדרש מכם	התקנה ועדכונים	מישהו שיבדוק התראות ויחקור	אותו דבר, ועוד חיבור של המערכות	הגדרה ראשונית ואיש קשר
למי מתאים	בסיס לכל עסק	עסק עם איש אבטחה או IT מיומן	ארגון עם כמה מערכות אבטחה וצוות	עסק בלי צוות אבטחה משלו

למה אנטי-וירוס לבדו כבר לא מספיק

אנטי-וירוס טוב עוצר את רוב האיומים הנפוצים, והוא עדיין שכבה הכרחית. הבעיה היא במה שהוא לא רואה. מתקפות רבות אינן מסתמכות על קובץ זדוני אחד, אלא על שרשרת פעולות שכל אחת מהן נראית לגיטימית: התחברות עם סיסמה שנגנבה, הרצת כלי ניהול מובנה של מערכת ההפעלה, העתקת קבצים, ורק בסוף הצפנה.

אנטי-וירוס בוחן כל פעולה בנפרד. מערכת EDR שומרת את הרצף כולו, ולכן מסוגלת לזהות שהשילוב חשוד גם כשכל חלק בנפרד תקין. היא גם עונה על שאלות שאנטי-וירוס לא יודע לענות עליהן אחרי אירוע: מאיפה זה התחיל, לאילו מחשבים זה התפשט, ומה נלקח.

כך בדיוק פועלות מתקפות כופר מודרניות, שעליהן הרחבנו במדריך מה זה כופרה ואיך מגינים על העסק.

מה מקבלים ממערכת EDR בפועל

• תיעוד רציף של תהליכים, חיבורי רשת, שינויים בקבצים ובהגדרות בכל מחשב ושרת.
• זיהוי התנהגותי שמתריע על דפוסים חשודים, גם בלי חתימה מוכרת.
• כלי חקירה: ציר זמן של האירוע, והיכולת לחפש את אותו סימן בכל המחשבים בארגון.
• תגובה מרחוק: בידוד מחשב מהרשת, עצירת תהליך, מחיקת קובץ, ולעיתים שחזור שינויים.
• נראות: אילו מחשבים מוגנים, אילו לא מעודכנים, ואיפה הסוכן הפסיק לדווח.

המשמעות המעשית: מערכת EDR מייצרת התראות, ומישהו צריך לקרוא אותן. מערכת שאף אחד לא מסתכל עליה שווה בערך כמו אנטי-וירוס יקר.

מתי XDR מוסיף ערך

XDR שווה את ההשקעה כשיש כמה מקורות מידע ששווה לחבר. לדוגמה: עובד מקבל מייל פישינג, מזין סיסמה באתר מזויף, התוקף מתחבר לחשבון הענן שלו ומוריד קבצים. מערכת EDR בלבד רואה מעט מאוד, כי רוב האירוע לא קרה על המחשב. XDR שמחובר לדואר ולמערכת הזהויות רואה את כל השרשרת.

לעסק קטן שכל מה שיש לו הוא כמה מחשבים ושירות דואר, היתרון קטן יותר. הוא גדל ככל שיש יותר שירותי ענן, יותר עובדים מרחוק ויותר מערכות אבטחה נפרדות.

שירות EDR מנוהל: כשאין צוות אבטחה

רוב העסקים הקטנים והבינוניים לא מעסיקים אנליסט אבטחה, ובוודאי לא בלילות ובסופי שבוע. זה המצב ששירות MDR נועד לפתור. במקום לקנות כלי ולקוות שמישהו יתפעל אותו, קונים תוצאה: צוות שמנטר, מסנן התראות שווא, חוקר ופועל.

מה כדאי לבדוק בשירות כזה:

1. באילו שעות הצוות פעיל, ומה זמן התגובה שהוא מתחייב אליו בכתב.
2. מה הצוות רשאי לעשות לבד, למשל לבודד מחשב, ומה דורש אישור שלכם.
3. איך מדווחים לכם: התראה בזמן אמת, דוח תקופתי, או שניהם.
4. מה קורה באירוע אמיתי: האם השירות כולל סיוע בהתאוששות, או רק זיהוי ובלימה.
5. על איזו מערכת השירות מבוסס, והאם המידע נשאר שלכם אם תחליפו ספק.

אותו אירוע, ארבע רמות הגנה

הדרך הקלה ביותר להבין את ההבדלים היא לעקוב אחרי אירוע אחד. נניח שעובדת פותחת קובץ מצורף שנראה כמו חשבונית, והוא מריץ פקודה שמורידה כלי שליטה מרחוק.

• עם אנטי-וירוס בלבד: אם הקובץ מוכר כזדוני, הוא נחסם והאירוע נגמר. אם הוא חדש ומשתמש בכלים מובנים של מערכת ההפעלה, ייתכן שלא יזוהה. במקרה כזה אין תיעוד של מה שקרה אחר כך.
• עם EDR: המערכת מזהה שתוכנת המשרד הפעילה שורת פקודה שהורידה קובץ מהאינטרנט, ומסמנת את הרצף כחשוד. נוצרת התראה עם ציר זמן מלא. אם מישהו רואה אותה בזמן, הוא מבודד את המחשב בלחיצה.
• עם XDR: בנוסף לכך, המערכת מקשרת את ההתראה למייל שממנו הגיע הקובץ, ומראה מי עוד בארגון קיבל אותו ומי פתח אותו.
• עם MDR: אנליסט בצוות השירות רואה את ההתראה, מוודא שהיא אמיתית, מבודד את המחשב ומודיע לכם מה קרה ומה נדרש מכם.

הטכנולוגיה בשלוש הרמות האחרונות דומה. מה שמשתנה הוא כמה רחבה התמונה ומי פועל על פיה.

איך בוחרים: לפי גודל העסק והיכולת לתפעל

אין תשובה אחת, אבל יש נקודות פתיחה סבירות:

מצב העסק	נקודת פתיחה מומלצת
עד עשרה עובדים, בלי איש IT קבוע	הגנת קצה מודרנית עם ניהול מרכזי, אימות דו-שלבי וגיבוי מבודד
עשרות עובדים, איש IT אחד או ספק חיצוני	EDR, בתנאי שמוגדר מי בודק התראות, או שירות מנוהל
מידע רגיש או דרישות רגולציה	EDR עם שירות מנוהל, ותיעוד של אירועים ותגובות
כמה אתרים, שירותי ענן רבים וצוות אבטחה	XDR שמאחד את המקורות

שלוש שאלות שעוזרות להחליט:

• מי יקבל את ההתראה בשתיים בלילה, ומה הוא יעשה איתה?
• כמה עולה לעסק יום של השבתה? זה קובע כמה סביר להשקיע במניעה.
• אילו מחשבים ושרתים קריטיים? אפשר להתחיל מהם ולהרחיב בהמשך.

איך מתומחרים הפתרונות

המחיר משתנה מיצרן ליצרן, אבל מבנה התמחור דומה אצל כולם, ושווה להכיר אותו לפני שמבקשים הצעה:

• לפי תחנת קצה: משלמים על כל מחשב ושרת מוגן, בדרך כלל במנוי שנתי. שרתים מתומחרים לעיתים בנפרד ממחשבים אישיים.
• לפי רמת המוצר: הגנת קצה בסיסית זולה ממערכת EDR, ו-XDR יקר יותר משתיהן.
• לפי משך שמירת הנתונים: שמירת היסטוריה לתקופה ארוכה, שנדרשת לחקירה, עולה יותר.
• שירות מנוהל: מתווסף על רישוי המוצר, ומתומחר לפי מספר התחנות ולפי שעות הפעילות של הצוות.

כשמשווים הצעות, משווים את העלות הכוללת לשנה, כולל ההטמעה והשירות, ולא רק את מחיר הרישיון.

הגנת קצה היא שכבה אחת מתוך כמה

שום מערכת זיהוי לא מחליפה את יסודות האבטחה. עסק שמתקין EDR אבל משאיר סיסמאות חלשות וגיבוי שמחובר לרשת נשאר חשוף. אלה השכבות שעובדות יחד:

• עדכונים שוטפים של מערכות ההפעלה והתוכנות.
• אימות דו-שלבי לדואר, לגישה מרחוק ולמערכות הניהול.
• הרשאות מינימליות: עובדים בלי הרשאות מנהל על המחשב שלהם.
• גיבוי מבודד שתוקף לא יכול למחוק גם אם השתלט על הרשת. זה מה שמאפשר להתאושש בלי לשלם כופר, ולשם כך נועד גיבוי מנוהל בענן.
• הקשחת שרתים, שעליה אפשר לקרוא במדריך אבטחת שרתים לעסק קטן.
• הדרכת עובדים לזיהוי פישינג.

טעויות נפוצות ברכישת EDR

• לקנות כלי בלי להגדיר מי מתפעל אותו. זו הטעות הנפוצה ביותר.
• להתקין רק על חלק מהמחשבים. תוקף נכנס דרך המחשב שלא מוגן.
• להשאיר את המערכת במצב ניטור בלבד בלי חסימה אוטומטית, גם אחרי תקופת הלמידה.
• לשכוח את השרתים. שרת קבצים ושרת דואר הם המטרות המעניינות ביותר.
• להשוות לפי רשימת תכונות. עדיף לבקש תקופת הערכה ולראות כמה התראות המערכת מייצרת בסביבה שלכם, וכמה מהן אמיתיות.

שאלות נפוצות

האם EDR מחליף אנטי-וירוס?

ברוב המוצרים המודרניים שתי היכולות מגיעות יחד: שכבת מניעה ושכבת זיהוי ותגובה באותו סוכן. מה שלא כדאי לעשות הוא להסיר את שכבת המניעה ולהישען רק על זיהוי, כי אז כל איום פשוט הופך להתראה שדורשת טיפול.

מה ההבדל בין EDR ל-MDR?

EDR הוא מוצר שאתם מתפעלים. MDR הוא שירות שבו צוות חיצוני מתפעל בשבילכם את מערכת הזיהוי והתגובה. אותה טכנולוגיה, מודל הפעלה שונה.

האם עסק קטן באמת צריך EDR?

תלוי בסיכון ובמידע שהעסק מחזיק. משרד שמחזיק מידע של לקוחות, כמו רואי חשבון, עורכי דין ומרפאות, הוא מטרה מעניינת גם כשהוא קטן. עסק קטן יכול להתחיל בהגנת קצה מודרנית ובגיבוי מבודד, ולהוסיף EDR מנוהל כשהסיכון מצדיק זאת.

האם EDR מאט את המחשבים?

סוכן EDR צורך משאבים, אבל במחשבים עדכניים ההשפעה קטנה ברוב המקרים. כדאי לבדוק זאת בתקופת ההערכה על המחשבים האיטיים ביותר בארגון ועל שרתים עמוסים.

מה קורה למידע שהמערכת אוספת?

מערכות EDR שולחות נתוני פעילות לשרת ניהול, לרוב בענן של היצרן. כדאי לשאול איפה המידע נשמר, לכמה זמן, ומי יכול לגשת אליו, במיוחד בעסק עם דרישות פרטיות.

האם צריך EDR גם על שרתים בענן?

כן. שרת וירטואלי הוא מחשב לכל דבר, והוא חשוף לאותן מתקפות. ספק הענן מאבטח את התשתית, ואת מערכת ההפעלה ומה שרץ עליה מאבטחים אתם, או הספק בשרת מנוהל.

רוצים לבחור פתרון הגנה לעסק?

אמפייר אייאל היא משווק מורשה של ESET בישראל. בדף פתרונות האבטחה של ESET אפשר לראות את האפשרויות לבית, לעסק קטן ולארגון, ולהתייעץ איתנו לפני שבוחרים חבילה.