Как выбрать EDR/XDR: критерии, ошибки и чек-лист

Короткий ответ: сначала определите, что уже стоит на конечных точках — большинство российских EDR технически работает как надстройка поверх антивирусного агента того же вендора, и это часто сужает выбор раньше, чем вы дойдёте до сравнения функций. Дальше проверьте набор действий реагирования (изоляция хоста, завершение процесса, откат изменений), сверьте список поддерживаемых ОС со своим парком — включая отечественные дистрибутивы Linux, оцените нагрузку агента на CPU и память на реальных, а не синтетических рабочих станциях, и только в конце — регуляторный статус и совокупную стоимость владения.

EDR (Endpoint Detection and Response, обнаружение и реагирование на конечных точках) устанавливает лёгкий агент на рабочие станции и серверы, непрерывно собирает телеметрию — процессы, сетевые соединения, изменения реестра, файловую активность, PowerShell и скрипты — и с помощью поведенческой аналитики выявляет признаки атаки (IoA, Indicators of Attack), которые сигнатурный антивирус пропускает.

Ключевое отличие от антивируса / EPP (Endpoint Protection Platform): EPP блокирует известные угрозы на основе сигнатур и эвристик до заражения, а EDR работает после — когда атака уже прошла периметр защиты и её нужно обнаружить по косвенным признакам и расследовать. На практике почти все российские вендоры продают EDR-агент как надстройку поверх собственного антивирусного движка — детект-агент не работает автономно и требует установленным базовый EPP того же вендора; отдельные продукты только в 2025–2026 гг. начали получать режим автономной работы без остальной линейки вендора, но это скорее развивающееся исключение, чем стандарт рынка.

Это стоит проверять заранее — архитектурная зависимость может сама по себе определить выбор вендора EDR через уже установленный антивирус.

EDR также не то же самое, что песочница или Anti-APT-платформа: те анализируют файлы и сетевой трафик в изолированной среде до того, как объект попадёт на конечную точку, тогда как EDR работает уже на конечной точке после её исполнения — это разные классы средств защиты.

XDR (Extended Detection and Response, расширенное обнаружение и реагирование) — логическое развитие EDR: вместо телеметрии только с конечных точек XDR коррелирует данные из нескольких доменов одновременно — конечные точки, сеть, почта, облако, иногда SIEM — в единой платформе с общим механизмом реагирования и построением цепочки атаки между доменами.

Простое правило: продукт видит только хосты — это EDR; подключает как минимум сеть, почту или облако и связывает события в междоменную цепочку — это уже XDR. У части российских вендоров XDR — самостоятельный продукт с собственной архитектурой, у части — маркетинговое название для бандла уже сертифицированных продуктов без отдельной SKU и сертификата: это стоит уточнять напрямую у вендора, а не считать общее название доказательством отдельного изделия.

Отдельного кода класса «EDR» в Реестре российского ПО и в классификаторе ФСТЭК нет: продукты регистрируются под кодами 03.06 (защита от вредоносного кода) или 03.07 (обнаружение вторжений), вперемешку с антивирусами и классическими IDS/IPS реестр. Из-за этого сравнивать EDR «по коду класса» не получится — приходится проверять каждый из критериев ниже отдельно у каждого кандидата.

• Выбирать EDR отдельно от уже установленного антивируса. Для большинства российских продуктов это архитектурная ошибка: без базового EPP того же производителя агент детекта просто не запустится, и решение придётся пересматривать уже после закупки.
• Оценивать производительность агента по цифрам из презентации вендора. Синтетический бенчмарк не отражает нагрузку на реальном парке — особенно на серверах с высокой утилизацией CPU.
• Принимать заявление «покрываем MITRE ATT&CK» без цифр. Формулировка ничего не говорит о числе техник и тактик, охваченных правилами детекта, и как часто эти правила обновляются.
• Считать сертификат ФСТЭК бессрочным фактом. Наличие продукта в реестре на момент презентации вендора не означает, что сертификат действует сейчас — статус нужно перепроверять непосредственно перед подписанием договора.
• Не закладывать в TCO стоимость хранения телеметрии и экспертизы SOC. Лицензия на агент — обычно меньшая часть итоговых расходов: глубокий threat hunting требует места для хранения событий за длительный период и аналитика, способного с этими данными работать.

1. Определите, какой антивирус (EPP) уже установлен на парке, и проверьте, требует ли рассматриваемый EDR-агент базовый продукт того же вендора.
2. Составьте список действий реагирования, которые нужны команде: изоляция хоста, kill process, откат, автоматизация по плейбуку.
3. Сверьте список поддерживаемых ОС кандидата со своим парком — включая отечественные дистрибутивы Linux и серверные версии.
4. Запросите тест агента на реальных рабочих станциях и серверах вашей организации, а не на синтетическом стенде вендора.
5. Уточните срок хранения телеметрии по умолчанию и стоимость его увеличения для ретроспективного threat hunting.
6. Попросите у вендора конкретные цифры покрытия MITRE ATT&CK — число техник и тактик, частоту обновления правил.
7. Определите, обязателен ли для вас сертификат ФСТЭК (субъект КИИ, госорган, компания с госучастием), и по какому профилю защиты сертифицирован продукт.
8. Проверьте действующий статус сертификата ФСТЭК выбранного продукта в госреестре СЗИ ФСТЭК непосредственно перед закупкой.
9. Оцените модель лицензирования — по числу агентов — и её поведение при росте парка на 2–3 года вперёд.
10. Посчитайте TCO: лицензия, хранение телеметрии сверх базового периода, обучение аналитика, продление сертификата.
11. Уточните SLA техподдержки вендора и наличие интеграторов с экспертизой внедрения EDR именно в вашей отрасли.
12. Оцените, достаточно ли своей команды для работы с правилами и расследованиями, или нужен managed-детект / MSSP поверх продукта.

Критерии выше помогают сузить список кандидатов, но финальный выбор — это сравнение конкретных продуктов по вендору, статусу в реестре, сертификату и архитектуре. На SecRadar это два инструмента: каталог класса — таблица характеристик, и радар — визуальное сопоставление по возможностям, присутствию на рынке и комплаенсу.

Смежные классы, которые стоит держать в связке с EDR: антивирус / EPP — базовый превентивный слой, поверх которого чаще всего работает EDR-агент, SIEM — центр корреляции, куда EDR поставляет события для расследования на уровне всей организации. Порядок прохождения оценки соответствия и сертификации СЗИ у ФСТЭК разобран в разделе «Оценка соответствия и сертификация СЗИ» на SecRadar.