Как выбрать EDR/XDR: критерии, ошибки и чек-лист

Короткий ответ: сначала проверьте совместимость EDR с установленной защитой конечных точек. Для каждой поставки выясните, нужен ли базовый EPP того же производителя, какие компоненты и лицензии обязательны. Затем сопоставьте действия реагирования и поддерживаемые ОС со своим парком, включая дистрибутивы и ядра Linux. Нагрузку, качество обнаружения и безопасность изоляции проверяйте на пилоте; требования закупки и стоимость учитывайте до его начала.

EDR (Endpoint Detection and Response, обнаружение и реагирование на конечных точках) устанавливает лёгкий агент на рабочие станции и серверы, непрерывно собирает телеметрию — процессы, сетевые соединения, изменения реестра, файловую активность, PowerShell и скрипты — и с помощью поведенческой аналитики выявляет признаки атаки (IoA, Indicators of Attack), которые сигнатурный антивирус пропускает.

Ключевое отличие от антивируса / EPP (Endpoint Protection Platform): EPP блокирует известные угрозы на основе сигнатур и эвристик до заражения, а EDR работает после — когда атака уже прошла периметр защиты и её нужно обнаружить по косвенным признакам и расследовать. На практике почти все российские вендоры продают EDR-агент как надстройку поверх собственного антивирусного движка — детект-агент не работает автономно и требует установленным базовый EPP того же вендора; отдельные продукты только в 2025–2026 гг. начали получать режим автономной работы без остальной линейки вендора, но это скорее развивающееся исключение, чем стандарт рынка.

Это стоит проверять заранее — архитектурная зависимость может сама по себе определить выбор вендора EDR через уже установленный антивирус.

EDR также не то же самое, что песочница или Anti-APT-платформа: те анализируют файлы и сетевой трафик в изолированной среде до того, как объект попадёт на конечную точку, тогда как EDR работает уже на конечной точке после её исполнения — это разные классы средств защиты.

XDR (Extended Detection and Response, расширенное обнаружение и реагирование) — логическое развитие EDR: вместо телеметрии только с конечных точек XDR коррелирует данные из нескольких доменов одновременно — конечные точки, сеть, почта, облако, иногда SIEM — в единой платформе с общим механизмом реагирования и построением цепочки атаки между доменами.

Простое правило: продукт видит только хосты — это EDR; подключает как минимум сеть, почту или облако и связывает события в междоменную цепочку — это уже XDR. У части российских вендоров XDR — самостоятельный продукт с собственной архитектурой, у части — маркетинговое название для бандла уже сертифицированных продуктов без отдельной SKU и сертификата: это стоит уточнять напрямую у вендора, а не считать общее название доказательством отдельного изделия.

Отдельного кода класса «EDR» в Реестре российского ПО и в классификаторе ФСТЭК нет: продукты регистрируются под кодами 03.06 (защита от вредоносного кода) или 03.07 (обнаружение вторжений), вперемешку с антивирусами и классическими IDS/IPS реестр. Из-за этого сравнивать EDR «по коду класса» не получится — приходится проверять каждый из критериев ниже отдельно у каждого кандидата.

EDR для Linux: что проверить отдельно

Название дистрибутива в списке совместимости не означает, что агент поддерживает все действия реагирования. Зафиксируйте версию ОС, ядра и агента, архитектуру процессора и обязательные зависимости.

• Сверьте поддержку Astra Linux, РЕД ОС, Альт или другого дистрибутива именно с вашим выпуском и ядром. Уточните требования BPF, auditd и системных служб.
• Отдельно проверьте сбор событий, YARA, изоляцию, завершение процессов, удалённые команды и самозащиту. Не переносите возможности Windows на Linux.
• На пилоте проверьте обновление ядра, восстановление связи после изоляции, работу при недоступном сервере и влияние на нагрузку рабочих приложений.

Проверить ОС и функции в матрице EDR →

• Выбирать EDR отдельно от уже установленного антивируса. Для большинства российских продуктов это архитектурная ошибка: без базового EPP того же производителя агент детекта просто не запустится, и решение придётся пересматривать уже после закупки.
• Оценивать производительность агента по цифрам из презентации вендора. Синтетический бенчмарк не отражает нагрузку на реальном парке — особенно на серверах с высокой утилизацией CPU.
• Принимать заявление «покрываем MITRE ATT&CK» без цифр. Формулировка ничего не говорит о числе техник и тактик, охваченных правилами детекта, и как часто эти правила обновляются.
• Считать сертификат ФСТЭК бессрочным фактом. Наличие продукта в реестре на момент презентации вендора не означает, что сертификат действует сейчас — статус нужно перепроверять непосредственно перед подписанием договора.
• Не закладывать в TCO стоимость хранения телеметрии и экспертизы SOC. Лицензия на агент — обычно меньшая часть итоговых расходов: глубокий threat hunting требует места для хранения событий за длительный период и аналитика, способного с этими данными работать.

1. Определите, какой антивирус (EPP) уже установлен на парке, и проверьте, требует ли рассматриваемый EDR-агент базовый продукт того же вендора.
2. Составьте список действий реагирования, которые нужны команде: изоляция хоста, kill process, откат, автоматизация по плейбуку.
3. Сверьте список поддерживаемых ОС кандидата со своим парком — включая отечественные дистрибутивы Linux и серверные версии.
4. Запросите тест агента на реальных рабочих станциях и серверах вашей организации, а не на синтетическом стенде вендора.
5. Уточните срок хранения телеметрии по умолчанию и стоимость его увеличения для ретроспективного threat hunting.
6. Попросите у вендора конкретные цифры покрытия MITRE ATT&CK — число техник и тактик, частоту обновления правил.
7. Определите, обязателен ли для вас сертификат ФСТЭК (субъект КИИ, госорган, компания с госучастием), и по какому профилю защиты сертифицирован продукт.
8. Проверьте действующий статус сертификата ФСТЭК выбранного продукта в госреестре СЗИ ФСТЭК непосредственно перед закупкой.
9. Оцените модель лицензирования — по числу агентов — и её поведение при росте парка на 2–3 года вперёд.
10. Посчитайте TCO: лицензия, хранение телеметрии сверх базового периода, обучение аналитика, продление сертификата.
11. Уточните SLA техподдержки вендора и наличие интеграторов с экспертизой внедрения EDR именно в вашей отрасли.
12. Оцените, достаточно ли своей команды для работы с правилами и расследованиями, или нужен managed-детект / MSSP поверх продукта.

Обзор класса объясняет назначение EDR и помогает составить требования. Матрица сравнения показывает документированные функции конкретных версий, ограничения и вопросы для пилота. Выберите 2–3 решения и сравните их по нужным возможностям.

Смежные классы, которые стоит держать в связке с EDR: антивирус / EPP — базовый превентивный слой, поверх которого чаще всего работает EDR-агент, SIEM — центр корреляции, куда EDR поставляет события для расследования на уровне всей организации. Порядок прохождения оценки соответствия и сертификации СЗИ у ФСТЭК разобран в разделе «Оценка соответствия и сертификация СЗИ» на SecRadar.