A meta da chamada EDR (Endpoint Detection and Response ou, em português, Detecção e Resposta de Endpoint) é proteger o endpoint, que pode ser um servidor onde está armazenado o banco de dados de uma empresa. Os endpoints incluem, além de servidores, computadores de mesa, notebooks, tablets, smartphones, smartwatches, controladores de casa inteligente, assistentes digitais, dispositivos de IoT (Internet of Things ou, em português, Internet das Coisas), entre outros. São chamados assim porque representam a última parada, os endpoints, dos dados na jornada até o usuário final, podendo oferecer acesso à rede.
O funcionamento do EDR é baseado no histórico desses dispositivos. A partir do monitoramento 24X7 (o tempo inteiro) dos endpoints, esse serviço identifica característica de comportamento estranha – pouco ou nunca vista. O ataque do tipo ransomware não começa criptografando os dados, pois não chega já de início ao coração do sistema, mas entendendo antes como o endpoint funciona. O criminoso busca caminhos para criptografar o banco de dados sem ser percebido.
Com a tecnologia EDR, é possível perceber essa movimentação, fazendo com que o ransomware não produza o resultado que almeja: a criptografia ou o sequestro dos dados corporativos. Assim que a EDR detecta, produz uma resposta automática, desativando a internet do endpoint e isolando o arquivo ou dispositivo infectado.
Outra resposta possível é acionar a área de segurança da informação, para que os profissionais de cibersegurança responsáveis possam fazer as verificações. Contar com um parceiro especializado é fundamental. A TIVIT, por exemplo, mantém um centro de operações – o Security Operations Center (SOC) – voltado para esse trabalho, com equipes engajadas e atuantes em todos os momentos do dia e da noite. A multinacional de tecnologia monitora e protege mais de 100 mil endpoints.
As ferramentas de EDR registram todas as atividades para que os profissionais responsáveis pelo sistema tenham insumos para diagnosticar e lidar adequadamente com a ameaça. O EDR não foi criado para proteger computadores ou dispositivos individuais. Sua função ou razão de existir é supervisionar elevado número de dispositivos conectados à rede. A infecção de um desses endpoints já pode significar a entrada dos criminosos na rede. Por isso, a falta de uma camada de proteção com EDR significa dizer que a empresa está desprotegida – por maior que seja seu investimento em segurança da informação. A expectativa é que esse mercado de EDR atinja globalmente 7,1 bilhões de dólares em 2028, de acordo com estudo realizado pela KBV Research.
O prejuízo é incalculável para as organizações caso os criminosos obtenham êxito no ataque do tipo ransomware e criptografem o banco de dados. Sem poder acessar essas informações, a empresa atingida não pode nem mesmo vender seus produtos ou serviços, com a interrupção da operação. Há, ainda, o risco de vazamento desses dados, com implicações legais relevantes caso sejam de natureza pessoal, conforme determinam a Lei Geral de Proteção de Dados (LGPD) e o Regulamento Geral sobre a Proteção de Dados (GDPR). Esse segundo, vigente na União Europeia, pode se aplicar a empresas brasileiras que façam negócios com organizações localizadas na UE.
Thiago Tanaka, Head de Vendas da unidade de negócios CyberSec da TIVIT.
