Geleneksel antivirüs yazılımları ağırlıklı olarak bilinen zararlı dosyaların imzalarını arar. EDR ise davranışa odaklanır: bir ofis belgesinin komut satırı başlatması, olağan dışı bir sürecin çok sayıda dosyayı şifrelemeye başlaması veya kimlik bilgisi deposuna erişim girişimi gibi etkinlikleri tespit eder.
Tipik yetenekler:
- Uç nokta etkinliklerinin kaydedilmesi ve geriye dönük aranabilmesi
- Davranış tabanlı tespit ve uyarı
- Cihazı ağdan uzaktan yalıtma, süreci sonlandırma, dosyayı karantinaya alma
- IOC ile ortamda arama yapma
EDR'nin genişletilmiş hâli olan XDR, uç noktaların yanında e-posta, kimlik, bulut ve ağ verilerini de ilişkilendirir.
EDR'nin değeri, uyarıların zamanında değerlendirilmesine bağlıdır. Küçük kurumlar için yönetilen tespit ve müdahale (MDR) hizmetleri bu ihtiyacı karşılayabilir. EDR'nin tüm cihazlarda kurulu ve güncel olduğu düzenli olarak kontrol edilmelidir.