EDR
Endpoint Detection and Response: beveiligingssoftware op computers en servers (endpoints) die voortdurend gedrag bewaakt, verdachte activiteit opspoort en een team in staat stelt te onderzoeken en te reageren, bijvoorbeeld door een geïnfecteerde machine te isoleren. De opvolger van traditionele antivirussoftware.
Het verschil met klassieke antivirus: AV zoekt naar bekende kwaadaardige bestanden (signaturen), EDR kijkt naar gedrag: wat processen doen, hoe ze communiceren en welke systeemaanroepen ze doen. Daardoor vangt EDR moderne dreigingen zoals fileless malware en living-off-the-land-aanvallen die AV mist.
Kenmerken zijn gedetailleerde telemetrie van wat er op het endpoint gebeurt (zodat een inbraak achteraf te reconstrueren is), automatische detectie van verdachte patronen en responsmogelijkheden zoals het afsluiten van de machine van het netwerk, het beëindigen van processen en het verzamelen van forensisch materiaal. Voorbeelden: CrowdStrike Falcon, Microsoft Defender for Endpoint en SentinelOne. Vaak gebouwd op eBPF of monitoring dicht op de kernel. Uitgebreid tot XDR, dat meer bronnen correleert, en gekoppeld aan SOAR en SIEM.