Wat een virusscanner wel en niet doet
Een klassieke virusscanner werkt grotendeels met handtekeningen: kenmerken van bekende kwaadaardige bestanden. Komt zo’n bestand binnen via een bijlage of download, dan wordt het geblokkeerd. Dat is nog steeds nuttig en moet aan blijven staan. Het probleem is dat aanvallers dit weten. Ze passen hun software net zo lang aan tot die niet meer wordt herkend, of ze gebruiken helemaal geen eigen software. Met een gestolen account en de tools die al op elke Windows-laptop staan, kunnen ze rondkijken, gegevens verzamelen en zich verder door het netwerk bewegen zonder dat er één “virus” te zien is.
Wat EDR toevoegt
EDR staat voor Endpoint Detection and Response. Een endpoint is een apparaat, zoals een laptop, pc of server. EDR houdt continu bij wat er op dat apparaat gebeurt en zoekt naar verdachte patronen. Denk aan Word dat ineens een opdrachtregel start, een proces dat massaal bestanden versleutelt, of een programma dat wachtwoorden uit het geheugen probeert te lezen. Bij zo’n patroon:
- Detecteert EDR het gedrag, ook als het gebruikte bestand nog nergens als kwaadaardig bekendstaat.
- Grijpt het in: het stopt het proces, zet bestanden in quarantaine of isoleert de laptop van het netwerk, zodat een aanval zich niet verspreidt.
- Legt het vast wat er is gebeurd, in een tijdlijn. Zo ziet u achteraf hoe de aanvaller binnenkwam en welke apparaten zijn geraakt.
Microsoft Defender for Business voor het MKB
Voor bedrijven die al met Microsoft 365 werken, is Microsoft Defender for Business vaak de eenvoudigste stap. Het is bedoeld voor organisaties tot driehonderd gebruikers en zit standaard in Microsoft 365 Business Premium; het is ook los te koop. Het bouwt voort op de antivirus die al in Windows zit en voegt EDR, automatisch onderzoek en herstel, en een overzicht van kwetsbaarheden toe. U rolt het uit via Intune, samen met uw nalevingsbeleid, zodat elke beheerde laptop automatisch wordt beschermd. Gebruikt u al een ander EDR-product, dan is dat ook prima; het gaat erom dat het op elk apparaat draait en centraal wordt beheerd.
Meldingen opvolgen is het halve werk
EDR die meldingen geeft die niemand leest, beschermt nauwelijks. Veel aanvallen worden ’s avonds of in het weekend uitgevoerd, juist omdat er dan niemand kijkt. Spreek daarom af wie de meldingen ontvangt, hoe snel iemand reageert en wat er gebeurt bij een ernstige melding. Leg dat vast in uw IT-noodplan. Zet automatisch herstel aan waar dat kan, zodat Defender bekende dreigingen zelf opruimt en een mens zich kan richten op wat echt aandacht nodig heeft.
EDR is geen vervanging voor de basis
EDR is een extra laag, geen oplossing voor alles. Het werkt het best in combinatie met MFA, bijgewerkte systemen via patchbeheer, medewerkers zonder lokale beheerdersrechten en een back-up die ransomware overleeft. Steeds meer cyberverzekeraars vragen bovendien expliciet naar EDR; zie ook wat een cyberverzekering van uw IT verwacht.
Hoe Floor ICT dit aanpakt
Floor ICT rolt Microsoft Defender for Business uit op al uw laptops, pc’s en servers via Intune en controleert dat geen enkel apparaat ontbreekt. We stellen het beleid in, zetten automatisch onderzoek en herstel aan en sluiten de meldingen aan op onze monitoring. Bij een ernstige melding isoleren we het apparaat, zoeken we uit wat er is gebeurd en herstellen we het. U krijgt periodiek een overzicht van meldingen en kwetsbaarheden, in gewone taal.