NGAV vs EDR: ต่างกันยังไง และองค์กรต้องมีทั้งคู่ไหม

หน้านี้เขียนสำหรับฝ่ายไอทีที่กำลังจะเปลี่ยนจาก antivirus ตัวเดิม แล้วเจอคำถามเดียวกันทุกครั้งว่า ควรซื้อ NGAV ใช้ EDR หรือต้องมีทั้งสองอย่าง เราไม่ได้อธิบายทฤษฎีของแต่ละเทคโนโลยี แต่จะพูดถึงความต่างที่มีผลจริงต่องบประมาณ ภาระของทีม และสิ่งที่องค์กรต้องตอบได้เมื่อเกิดเหตุ

สรุปสั้น ๆ ก่อน NGAV ทำหน้าที่ป้องกัน คือหยุดไฟล์หรือพฤติกรรมอันตรายก่อนจะทำงาน ส่วน EDR ทำหน้าที่มองเห็นและตอบสนอง คือบันทึกสิ่งที่เกิดขึ้นบนเครื่องเพื่อให้รู้ว่าอะไรหลุดเข้ามา เข้ามาทางไหน และกระทบเครื่องไหนบ้าง EDR จึงไม่ได้มาแทน NGAV แต่ต่อยอดจากมัน

ความต่างที่มีผลต่อการตัดสินใจ

ต้องมีทั้งคู่ไหม

สำหรับองค์กรส่วนใหญ่ คำตอบคือมีชั้นป้องกันแบบ NGAV เป็นพื้นฐานเสมอ แล้วถามต่อว่าพร้อมสำหรับ EDR หรือยัง ตัวชี้วัดความพร้อมไม่ใช่ขนาดองค์กร แต่คือมีคนที่จะลงมือกับสิ่งที่ EDR เจอหรือไม่ ถ้าซื้อ EDR มาแต่ไม่มีใครดู console องค์กรจะจ่ายเงินเพิ่มเพื่อเก็บ alert ที่ไม่มีใครตอบ ซึ่งแย่กว่าการลงทุนกับชั้นป้องกันให้แน่นก่อน

เมื่อไหร่ NGAV อย่างเดียวพอ (ในตอนนี้)

• ทีมไอทีมีไม่กี่คน และไม่มีใครดูงานด้านความปลอดภัยเป็นงานหลัก
• เครื่องส่วนใหญ่เป็นเครื่องสำนักงานทั่วไป ไม่มีระบบที่ต้องรายงานเหตุละเอียด
• เป้าหมายตอนนี้คือเปลี่ยนจาก antivirus แบบ signature ไปสู่การป้องกันที่ใช้ ML และ behaviour blocking
• ยังต้องคุมงบ และอยากวางพื้นฐานให้เรียบร้อยก่อน เช่น application control, DLP และ patch

เมื่อไหร่ควรเพิ่ม EDR

• มีคนดู alert ได้เป็นประจำ หรือพร้อมใช้บริการ MDR ให้ดูแทน
• ต้องตอบได้ว่าเหตุเกิดอย่างไรและกระทบข้อมูลอะไร เช่น กรณีที่ต้องประเมินและแจ้งเหตุละเมิดข้อมูลส่วนบุคคลตาม PDPA ซึ่งต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ถ้าเหตุนั้นมีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล
• เคยเจอเหตุที่ antivirus ไม่ได้แจ้งเตือน แต่ภายหลังพบว่ามีเครื่องถูกเจาะ
• มีเครื่องจำนวนมากหรือหลายสาขา และต้องตัดเครื่องที่ติดเชื้อออกจากระยะไกลได้ทันที
• ผู้ตรวจสอบหรือลูกค้าเริ่มถามถึงความสามารถในการสืบสวนและตอบสนองต่อเหตุ

คำถามที่ควรถามผู้ขายก่อนเลือก

• ชั้นป้องกันกับ EDR ใช้ agent ตัวเดียวกันไหม หรือต้องลงสองตัวบนทุกเครื่อง
• EDR เก็บข้อมูลเหตุการณ์ย้อนหลังได้นานเท่าไร และเก็บไว้ที่ไหน (cloud หรือ on-premise)
• สั่งตัดเครื่องออกจากเครือข่าย หยุด process หรือกักไฟล์จาก console ได้ทันทีไหม
• ส่ง alert เข้า SIEM หรือช่องทางที่ทีมใช้อยู่ได้ไหม
• ถ้าวันนี้ซื้อแค่ชั้นป้องกัน ภายหลังจะต่อยอดเป็น EDR หรือ XDR ได้โดยไม่ต้องเปลี่ยนระบบไหม
• ใครเป็นคนช่วยตอนเกิดเหตุจริง และติดต่อเป็นภาษาไทยได้ไหม

Seqrite จับคู่สองชั้นนี้อย่างไร

Seqrite Endpoint Protection คือชั้นป้องกัน ตรวจจับและบล็อกมัลแวร์และแรนซัมแวร์ด้วย ML และเอนจิน GoDeep.AI (DNA Scan และ behaviour blocking) พร้อม Application Control, DLP, Patch Management และ Virtual Patching รองรับ Windows, Mac และ Linux และมี XDR Connector สำหรับต่อยอดในภายหลัง

Seqrite EDR คือชั้นมองเห็นและตอบสนอง ตัดเครื่องที่ติดเชื้อออกได้ทันที (Host Isolation) สั่งหยุด process หรือกักไฟล์ ค้นหา IOC บนข้อมูลย้อนหลังด้วย Seqrite Threat Intel เขียนกฎจับพฤติกรรมตาม MITRE TTP ได้เอง และมี Investigative Workbench สำหรับสืบสวน ใช้งานได้ทั้งแบบ cloud และ on-premise และส่ง alert เข้า SIEM, SMS หรืออีเมลได้