EDR: что это, как работает и чем отличается от антивируса

EDR, Endpoint Detection and Response — класс средств защиты информации, которые ставят программный агент на рабочие станции и серверы, непрерывно собирают телеметрию об их поведении и с помощью поведенческой аналитики выявляют признаки атаки (IoA, Indicators of Attack), которые сигнатурная защита пропускает, а затем дают аналитику или автоматике инструменты для ответа. Термин ввела аналитическая компания Gartner в 2013 году для обозначения инструментов, которые видят не только сам вредоносный файл, а всю цепочку действий на устройстве до и после его запуска.

Ключевая идея EDR — предположение, что часть атак всё равно пройдёт мимо первой линии защиты. Вместо того чтобы полагаться только на блокировку известных угроз, EDR непрерывно записывает, что происходит на устройстве: какие процессы запускаются, какие сетевые соединения открываются, какие файлы и ключи реестра меняются, какие команды выполняются через PowerShell и другие скрипты.

По этой истории событий система ищет паттерны, характерные для реальных атак, а не для конкретного вредоносного файла — это позволяет замечать новые и целенаправленные угрозы, для которых ещё нет готовой сигнатуры.

Когда система находит подозрительную цепочку событий, она не просто присылает уведомление: EDR даёт инструменты реагирования прямо на месте — изолировать заражённый узел от сети, завершить вредоносный процесс, откатить внесённые изменения и восстановить историю событий для расследования того, как злоумышленник попал в систему и что успел сделать.

Антивирус (EPP, Endpoint Protection Platform) и EDR решают разные, дополняющие друг друга задачи: EPP не даёт заразиться, EDR обнаруживает то, что заражение уже произошло, и помогает на него ответить. EDR не заменяет антивирус — на практике оба компонента почти всегда работают вместе, часто в одном агенте.

↔ таблицу можно прокрутить вбок

На рынке это разграничение видно и в продуктах: у большинства вендоров EDR-агент технически связан с их же антивирусным движком. Например, тарифы Kaspersky EDR требуют Kaspersky Endpoint Security как базовый агент, а обновлённый MaxPatrol EDR от Positive Technologies только в 2025–2026 годах получил возможность работать автономно, без остальной линейки продуктов вендора.

EDR-агент — программный компонент, который устанавливается на защищаемое устройство и работает в фоновом режиме: собирает телеметрию, передаёт её на сервер анализа или в облако вендора и выполняет команды реагирования, когда система обнаруживает угрозу. Это тот же принцип, что и у антивирусного клиента, но объём и характер собираемых данных заметно шире.

• Сбор телеметрии. Агент фиксирует запуск процессов, сетевые соединения, изменения файлов и ключей реестра, выполнение скриптов (PowerShell, WMI, командная строка) — и отправляет эти события на анализ.
• Лёгкий след на системе. В отличие от полноценной песочницы, агент не эмулирует устройство, а наблюдает за реальной работой — это позволяет ему постоянно находиться в фоне без заметного влияния на производительность.
• Локальные и облачные проверки. Часть анализа агент делает на самом устройстве (например, базовые правила детекта), часть — отправляет в облако или на локальный сервер вендора для более тяжёлой корреляции и сопоставления с базой индикаторов атаки.
• Исполнение команд реагирования. Когда аналитик или автоматика принимает решение, именно агент физически изолирует устройство от сети, останавливает процесс или откатывает изменение — без него реагирование осталось бы только на экране аналитика.

Практический нюанс: у большинства российских вендоров EDR-агент не устанавливается отдельно от базового антивирусного клиента, а достраивает его новыми модулями телеметрии и реагирования. Это стоит учитывать при выборе — от него зависит, можно ли поставить EDR-функциональность поверх уже используемого в компании антивируса другого производителя или потребуется полная замена агента на рабочих станциях.

Набор функций EDR-системы обычно строится вокруг четырёх задач: видеть происходящее на конечных точках, находить в этом угрозы, реагировать на них и разбираться в произошедшем задним числом.

Четыре термина описывают разные срезы одной и той же задачи защиты конечных точек — по глубине технологии (EPP → EDR → XDR) и по способу эксплуатации (собственными силами или как услуга, EDR/XDR vs MDR).

• EPP (Endpoint Protection Platform) — базовый антивирус: блокирует известные угрозы до заражения. Подробнее — в материале «Антивирус: что это, как работает».
• EDR (Endpoint Detection and Response) — надстройка над EPP: телеметрия, поведенческое обнаружение и реагирование на конечных точках.
• XDR (Extended Detection and Response) — развитие EDR: коррелирует телеметрию не только с конечных точек, а минимум ещё с одного домена — сети, почты или облака — и строит между ними единую цепочку атаки. Если продукт видит только хосты — это EDR; если он связывает события из разных доменов — это уже XDR.
• MDR (Managed Detection and Response) — не технология, а услуга: внешняя команда провайдера эксплуатирует EDR- или XDR-платформу за компанию, берёт на себя круглосуточный мониторинг, разбор срабатываний и реагирование. MDR почти всегда построен поверх EDR-агента — разница в том, кто им управляет.

У части российских вендоров XDR — самостоятельный продукт с отдельным номером в Реестре российского ПО (например, PT XDR у Positive Technologies), у других — экосистемное название для бандла из уже сертифицированных EDR-, сетевых и SIEM-продуктов без отдельной SKU и отдельного сертификата на сам бандл.

В Госреестре сертифицированных СЗИ ФСТЭК зарегистрированы действующие сертификаты на EDR-изделия нескольких российских вендоров. Отдельного кода класса «EDR» в классификаторе реестра нет: продукты зарегистрированы под кодом 03.06 «средства антивирусной защиты» (САВЗ) — тем же, что и обычные антивирусы, всего 186 записей, — либо под кодом для средств обнаружения вторжений, что затрудняет их автоматический подсчёт по одному признаку.

По данным SecRadar, из этого смешанного списка курируется около 7 самостоятельных EDR/XDR-решений — методика отбора и полный перечень с разбором XDR-продуктов того же профиля — на странице классификации EDR/XDR.

• Kaspersky EDR (АО «Лаборатория Касперского») — сертификат ФСТЭК №4597, внесён 14.10.2022, действует до 14.10.2027; Реестр российского ПО №7430.
• MaxPatrol EDR (Positive Technologies) — сертификат ФСТЭК №4980, внесён 22.09.2025, действует до 22.09.2030; это зонтичный сертификат, который покрывает связку с MaxPatrol SIEM и MaxPatrol VM, отдельного сертификата именно на EDR-компонент нет; Реестр российского ПО №20685.
• BI.ZONE EDR (BI.ZONE) — сертификат ФСТЭК №5021, внесён 26.12.2025, действует до 26.12.2030; Реестр российского ПО №6493.

Полный список решений с сертификатами, сравнением по функциям, картой рынка и разбором XDR-продуктов того же профиля — на странице «Российские EDR/XDR-решения из реестра». Там же — отдельный разбор того, как выбрать EDR под конкретную инфраструктуру и требования комплаенса.