AI-система защиты endpoint: EDR и XDR
EDR (Endpoint Detection and Response) закрыл пробел, который оставляли антивирусы: не только блокировать известные угрозы, но и детектировать аномальное поведение, собирать forensic данные, давать возможность реагирования. XDR расширяет это на все источники: endpoint + network + cloud + email в единый detection pipeline.
Что ловит EDR там, где AV бессилен
Fileless malware. Код выполняется в памяти, на диск ничего не пишется: PowerShell в памяти, reflective DLL injection, process hollowing. AV не видит файла для сканирования. EDR видит: PowerShell с encoded command, CreateRemoteThread API call, unusual memory allocation patterns.
Living-off-the-land (LOTL). Атакующий использует легитимные системные инструменты: certutil для скачивания payload, regsvr32 для выполнения скрипта, wmic для lateral movement. AV пропускает — инструменты легитимные. ML-модель на поведении процессов замечает нетипичные паттерны использования.
Process injection. Вредоносный код инжектируется в легитимный процесс (explorer.exe, svchost.exe). AV видит только легитимный процесс. EDR анализирует API calls: VirtualAllocEx + WriteProcessMemory + CreateRemoteThread = классический DLL injection.
Credential theft. Mimikatz и его аналоги делают LSASS memory dump. EDR детектирует: OpenProcess к lsass.exe из нестандартного процесса, чтение памяти с определёнными патчами.
ML для endpoint behavioral analysis
Process graph analysis. Каждый процесс — узел в графе, рёбра — spawn (parent-child), network connections, file operations. GNN классифицирует подграф как нормальный или подозрительный.
Пример подозрительного подграфа:
outlook.exe → cmd.exe → powershell.exe -enc [base64] → curl.exe → evil.com
Phishing email → выполнение вложения → PowerShell загрузка payload. Classic kill chain, видимый через process tree.
API call sequences. Последовательности Win32 API вызовов — характерная «подпись» малварных техник. LSTM или Transformer на последовательности syscall/API log: учится различать нормальное ПО от эксплоит-паттернов.
Memory forensics. Анализ memory dumps: энтропия регионов памяти (высокая = упакованный код), наличие PE headers в неожиданных местах, unsigned code execution.
XDR: корреляция через источники
XDR объединяет сигналы, которые по отдельности — шум:
| Источник | Сигнал | Контекст |
|---|---|---|
| Endpoint | PowerShell spawned from Word | Document-based attack |
| Network | DNS query to DGA domain | C2 communication |
| Phishing email received 10 min earlier | Attack vector | |
| Cloud | AAD: impossible travel login | Credential compromise |
По отдельности каждый сигнал — алерт средней важности. В XDR корреляция создаёт инцидент HIGH: «spear phishing → initial compromise → C2 communication → possible credential theft».
Автоматическое реагирование
EDR позволяет реагировать с endpoint'а: изоляция хоста (отключение от сети с сохранением подключения к EDR), kill process, collect forensic dump, snapshot памяти. Автоматизация:
class AutomatedResponse:
def respond(self, incident: Incident) -> None:
if incident.severity == "CRITICAL" and incident.confidence > 0.9:
# Немедленная изоляция
self.edr_api.isolate_host(incident.host_id)
self.create_jira_ticket(incident, priority="P1")
self.notify_soc(incident, channel="critical-incidents")
elif incident.severity == "HIGH":
# Собираем forensic данные, ждём analyst
self.edr_api.collect_forensic_dump(incident.host_id)
self.create_jira_ticket(incident, priority="P2")
Практический кейс
Фармацевтическая компания, 800 Windows-хостов, Wazuh + кастомный ML-слой. Обнаружение: атакующий получил доступ через valid credentials (купленные в даркнете), начал lateral movement через PsExec.
Детекция через 8 минут:
- PsExec запуск с сервисного аккаунта к хостам, которые ранее не контактировали
- Аномальный паттерн parent-child: services.exe → cmd.exe → whoami, net user, net group
- UEBA: сервисный аккаунт первый раз за 6 месяцев работает в 2:17 ночи
Автоматический ответ: изоляция 3 хостов, где детектировались аномалии. Атакующий потерял foothold. Forensic dump собран для анализа.
Без EDR: атака продолжалась бы к критическим серверам с R&D данными. Ущерб оценивается как «значительный» — конкретных цифр не раскрываем.
Сроки: 3–6 недель для деплоя open-source EDR (Wazuh) с ML-модулями, 8–16 недель для enterprise-класса XDR с кастомными корреляциями и auto-response playbooks.