Обзор класса / Защита конечных точек
Обнаружение и реагирование на конечных точках: назначение класса, решения и выбор под вашу инфраструктуру.
Документальный срез — 4 октября 2026
Когда важно восстановить ход атаки на рабочих станциях и серверах, найти затронутые узлы и выполнить ответное действие. До выбора продукта определите, кто будет разбирать события: внутренняя команда, внешний SOC или сервис MDR.
EDR, EPP и XDR пересекаются, но не взаимозаменяемы. Проверьте состав поставки: встроенный антивирус, хранилище телеметрии, сервер управления и внешние интеграции могут лицензироваться и развёртываться отдельно.
EDR сосредоточен на конечных точках. XDR связывает сигналы из нескольких областей инфраструктуры, например конечных точек, сети и облачных сервисов. MDR — услуга обнаружения и реагирования с участием внешней команды; она может использовать EDR. Поэтому сначала определите, каких источников событий не хватает и кто будет расследовать инциденты.
Если сравниваете EPP и EDR, отдельно проверьте предотвращение угроз и расследование: эти возможности могут входить в один пакет, но состав зависит от редакции. Связь EDR с SIEM также не делает любую связку полноценным XDR: уточняйте сценарии корреляции и ответных действий.
Обзор XDR · Обзор SIEM · Определения EDR, XDR и MDR: Kaspersky
8 решений и редакций · по названию. Плитки ведут к сравнению возможностей.
Модульная архитектура: телеметрия, хранилище, консольные команды и File grabber подключаются отдельно. В документации разобраны собственные правила, поиск по событиям и изоляция Windows/Linux. Набор функций нужно сверять с составом модулей.
Сервер 1.40.1; возможности модулей проверяются отдельно от агента.
Найдены условия оказания MDR на базе F6 EDR: в них описаны изоляция и сбор артефактов агентом. Версия и доступность этих операций заказчику самостоятельной EDR-поставки требуют технического руководства.
Текущая публичная карточка; версия технической поставки не установлена.
В сравнение включён Expert on-premises 8.1. Руководство описывает поиск по телеметрии, IOC/YARA и плейбуки. Требования к KES, OSMP и компонентам KUMA существенны для состава поставки; облачный Expert — другая редакция.
On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.
Optimum 4.1 работает через совместимые KES и KSC. Документированы граф алерта, IOC и действия на устройстве. Например, карантин и запрет запуска на Linux требуют KES 12.2+, а некоторые форматы IOC — конкретных версий Windows/Mac.
Руководство 4.1; ограничения зависят от версии KES и KSC.
MaxPatrol EDR 10.1 использует набор модулей. Документированы локальная работа, YARA, команды и карантин; доступность зависит от ОС. Поиск во встроенных событиях ИБ нужно отличать от анализа сырой телеметрии в SIEM.
Версия 10.1; набор функций зависит от модулей, ОС и интеграций.
Проверены руководства RT Protect 1.0.28 с указанными версиями агента и серверной части. В них описаны IOA, YARA, поиск, терминал и буфер событий. Откат шифрования для старых серий агентов не перенесён на агент 3.x.
Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.
По уточнению производителя от 07.10.2026 Endpoint поставляется как компонент SIEM, VM и/или SOAR. Для проверки получены разделы агентов SIEM 2.9.1. Хранение и поиск событий относятся к платформе SIEM; версия агента и условия функций по ОС уточняются.
Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.
Security Vision EDR представлен на продуктовой странице. Техническое руководство с номером поставки и условиями функций пока не получено. Описание общей платформы не заменяет документацию EDR-модуля.
Текущая публичная карточка; номер технической поставки не установлен.
Для сравнения стоимости запросите предложения на одинаковый парк устройств, срок и состав поставки. Цена лицензии сама по себе не показывает расходы на внедрение и эксплуатацию.
При выборе Kaspersky EDR Optimum или Expert сравнивайте точные редакции и комплектацию предложения. В нашей матрице Optimum 4.1 и Expert 8.1 on-premise разобраны отдельно; функции связанных KES и KSC отмечены с условиями.
Проверяйте не только название дистрибутива, но и его выпуск, ядро, архитектуру процессора и версию агента. Требования BPF и auditd могут ограничивать сбор событий. Поддержка Astra Linux, РЕД ОС или Альт не означает доступность всех действий, описанных для Windows.
Отдельно сопоставьте изоляцию, YARA, удалённые команды, самозащиту и работу без связи с сервером. На пилоте проверьте обновление ядра, нагрузку на рабочие приложения и восстановление связи после изоляции.
При переходе с CrowdStrike Falcon, SentinelOne или Microsoft Defender for Endpoint начните со списка реально используемых функций. Отдельно проверьте поддержку серверов и Linux, перенос IOC, запросы к истории, связь с SIEM и порядок реагирования. У пары продуктов одного класса могут различаться состав поставки и границы ответственности.
Реестровую запись и сертификат проверяют для конкретного наименования, версии и комплектации. Запись на платформу или EPP не следует автоматически переносить на любую EDR-редакцию. В этой матрице сравниваются функции по документации; она не подтверждает соответствие отдельной закупке.
EDR собирает события конечных устройств и помогает обнаруживать, расследовать и сдерживать атаки. Для выбора важны не только детекты, но и доступность телеметрии, действия на узле, поддержка ОС и работа команды, которая будет разбирать инциденты.
EPP объединяет средства защиты конечной точки, включая предотвращение известных угроз. EDR добавляет данные для расследования и реагирования. В конкретной поставке функции могут быть объединены: нужно проверить, включён ли EPP, работает ли EDR отдельно и совместим ли с уже установленной защитой.
XDR расширяет расследование и реагирование на несколько источников, например конечные точки, сеть и почту. Название XDR само по себе не гарантирует конкретный состав интеграций. Сравнивайте подключаемые источники, хранение и доступные действия.
В каталоге восемь строк: BI.ZONE EDR, F6 EDR, Kaspersky EDR Expert on-premises, Kaspersky EDR Optimum, MaxPatrol EDR, RT Protect EDR, R-Vision Endpoint и Security Vision EDR. Это состав текущего исследования, а не утверждение о полном охвате рынка.
Проверьте дистрибутив, версию ядра, архитектуру и матрицу модулей. Возможность установки агента не означает, что на Linux доступны все действия Windows. Отдельно проверьте изоляцию, команды, YARA, самозащиту и работу при обновлении ядра.
Российские EDR можно рассматривать при замене этих продуктов, но равенство по названию класса не означает функциональную эквивалентность. Сначала выпишите используемые функции и интеграции, затем сопоставьте документированные возможности и проверьте перенос сценариев на пилоте.