FortiEDR

Dlaczego potrzebujesz FortiEDR?

Ochrona stacji końcowej jest w cyberbezpieczeństwie prosta dopiero wtedy, gdy wszystkie systemy są wspierane. Realna decyzja dotyczy reszty: maszyn sterujących produkcją i stacji z systemem, którego nie da się zaktualizować, bo działa na nim aplikacja bez następcy. To one wyznaczają granicę wyboru.

Ransomware kończy pracę, zanim ktokolwiek zdąży przeczytać alert — dlatego liczy się blokada w czasie rzeczywistym, a nie zgłoszenie po fakcie.

FortiEDR to platforma EDR (endpoint detection and response), która jednym agentem chroni stacje robocze, serwery, zasoby w chmurze i systemy OT. Silnik antymalware oparty na uczeniu maszynowym zatrzymuje zagrożenia przed uruchomieniem, a gdy podejrzany proces już działa, FortiEDR odcina mu komunikację wychodzącą i dostęp do systemu plików — zanim dojdzie do wycieku danych albo zaszyfrowania plików. Agent działa także na Windows XP i Windows Server 2003, z pełnym zestawem funkcji.

Jak to działa?

Ochrona przed uruchomieniem

Pierwsza warstwa zatrzymuje zagrożenie, zanim się uruchomi:

• NGAV oparty na uczeniu maszynowym, działający na poziomie jądra systemu
• analiza zagrożeń FortiGuard z bazy w chmurze
• wirtualne łatanie podatności systemu i aplikacji
• kontrola aplikacji i urządzeń USB
• ochrona urządzeń odłączonych od sieci

Ochrona po uruchomieniu

Blokada w czasie rzeczywistym, także na urządzeniu już zainfekowanym:

• wykrywanie oparte na zachowaniu systemu operacyjnego
• blokada szyfrowania ransomware i modyfikacji plików oraz rejestru
• zatrzymanie wycieku danych i komunikacji z serwerami C2
• wykrywanie ataków w pamięci, w tym wstrzykiwania kodu do procesów
• odcięcie podejrzanego procesu od sieci i systemu plików

Automatyczna reakcja

Reakcja na incydent według playbooków:

• akcje zależne od klasyfikacji incydentu, grupy urządzeń i wartości zasobu
• usuwanie plików, kończenie złośliwych procesów, cofanie trwałych zmian
• izolacja aplikacji i urządzeń
• powiadamianie użytkowników i otwieranie zgłoszeń
• wycofanie złośliwych zmian na Windows, macOS i Linux

Główne funkcje

Wykrywanie zagrożeń

• antywirus nowej generacji (NGAV)
• ataki bezplikowe (fileless)
• ataki typu „living off the land”
• klasyfikacja incydentów z użyciem FortiGuard i sandboxingu w chmurze

Dochodzenie i analiza

• widoczność całego łańcucha ataku
• migawki pamięci przy atakach działających w pamięci
• analiza pełnej historii logów
• mapowanie zdarzeń na MITRE ATT&CK

Obsługiwane środowiska

• Windows (w tym XP, Server 2003)
• macOS, Linux
• systemy OT, sterowniki produkcyjne i systemy POS
• środowiska VDI (VMware Horizon, Citrix)
• zasoby w chmurze
• Android i iOS

Automatyzacja reakcji

• playbooki dopasowane do organizacji
• sekwencje wielu akcji
• otwieranie zgłoszeń
• integracja z SIEM i SOAR

Kluczowe możliwości

Blokada w czasie rzeczywistym: FortiEDR blokuje szkodliwe działania (szyfrowanie, wyciek danych), odcinając podejrzane procesy od sieci i systemu plików. Według producenta pozwala to utrzymać ciągłość działania nawet na urządzeniu już zainfekowanym.

Starsze systemy: Agent działa na Windows XP, Server 2003 i starszych dystrybucjach Linux, z pełnym zestawem funkcji. To ważne w OT, gdzie aktualizacja systemu często nie wchodzi w grę.

Lekki agent: Fortinet opisuje agenta jako lekkiego; limity zużycia zasobów podaje karta katalogowa (więcej w FAQ).

Dla kogo?

• Organizacje, które chcą zatrzymywać ransomware w czasie rzeczywistym
• Środowiska OT ze starszymi systemami
• Zespoły SOC, które potrzebują automatycznych playbooków
• Organizacje, które chcą automatyzować rutynowe zadania ochrony końcówek bez powiększania zespołu

Korzyści

Dla SOC: alerty w czasie rzeczywistym, wskazówki do dochodzenia, automatyczne playbooki

Dla bezpieczeństwa: blokada ransomware, wykrywanie oparte na zachowaniu, widoczność całego łańcucha ataku

Dla biznesu: ciągłość działania podczas incydentu, ochrona starszych systemów

Specyfikacja

Kiedy FortiEDR ma sens w Twojej organizacji?

Ochrona końcówek działa wtedy, gdy pasuje do tego, kto i kiedy reaguje na alert. Trzy typowe sytuacje, w których FortiEDR odpowiada na konkretny problem:

Stacje i serwery bez całodobowego zespołu SOC

Firma średnia z kilkuosobowym działem IT nie ma kogo posadzić przy konsoli w nocy ani w weekend. FortiEDR rozbraja podejrzany proces automatycznie — odcina mu komunikację wychodzącą i dostęp do systemu plików — a chmurowe zaplecze producenta zbiera dowody i klasyfikuje incydent. Na tej podstawie playbook może odizolować urządzenie, usunąć plik, cofnąć zmiany i otworzyć zgłoszenie. Analityk dostaje incydent z wyjaśnieniem, dlaczego zdarzenie uznano za podejrzane, z mapowaniem na MITRE ATT&CK i z podpowiedzią kolejnego kroku. Uprawnienia w konsoli nadaje się według ról, a bezpieczna zdalna powłoka pozwala administratorowi zdiagnozować stację, która pracuje poza biurem.

Ransomware na stacji roboczej

Ransomware szyfruje pliki, a kopie migawkowe VSS bywają jego celem. FortiEDR blokuje szyfrowanie oraz zmiany plików i rejestru w chwili wykrycia, a złośliwe zmiany można wycofać ręcznie lub automatycznie — na jednym urządzeniu albo na wielu. Na Windows wycofanie nie opiera się na kopiach VSS. Podejrzane pliki FortiEDR może automatycznie przesyłać do FortiSandbox w chmurze, a wynik analizy zasila klasyfikację incydentu. Przy integracji z FortiGate konsola FortiEDR może też zlecić zablokowanie adresu IP po ataku.

Produkcja i systemy starszej generacji

W zakładzie produkcyjnym stacja operatorska z Windows XP albo serwer z Windows Server 2003 często działa dalej, bo aplikacja sterująca nie ma następcy. FortiEDR obsługuje te systemy z pełnym zestawem funkcji, a wirtualne łatanie osłania podatności, których nie da się już usunąć aktualizacją. Wdrożenie można zacząć w opcjonalnym trybie logowania i symulacji, a do trybu ochrony przejść po przeglądzie zdarzeń. Według producenta FortiEDR utrzymuje dostępność systemów OT także w trakcie incydentu, a w połączeniu z FortiNAC może przenieść zainfekowane urządzenie do VLAN-u naprawczego (remediation VLAN).

Dlaczego wdrożyć FortiEDR z nFlo?

Agent EDR trafia na każdą stację i każdy serwer, więc projekt zaczyna się od listy systemów, a nie od instalatora. W projekcie FortiEDR zespół nFlo:

• inwentaryzuje stacje, serwery i systemy starszej generacji, w tym maszyny OT,
• projektuje grupy urządzeń, polityki i playbooki reakcji,
• wdraża agenta etapami, zaczynając od trybu symulacji,
• utrzymuje polityki i dostraja playbooki po incydentach.

FortiEDR to część usługi Managed EDR/XDR. Rozmowę o ochronie stacji i serwerów w Twojej organizacji zacznij przez kontakt; o współpracy nFlo z producentem przeczytasz na stronie Fortinet.

FAQ

Czym FortiEDR różni się od FortiClient? FortiEDR to platforma EDR: wykrywanie, blokada i reakcja na incydenty na końcówce. FortiClient to ujednolicony agent Fortinet z funkcjami VPN, ZTNA i ochrony końcówki. Produkty współpracują: FortiClient EMS pobiera stan urządzenia z FortiEDR do oceny w ZTNA.

Jak FortiEDR blokuje ransomware? Na dwóch etapach: silnik NGAV z uczeniem maszynowym zatrzymuje zagrożenia przed uruchomieniem, a wykrywanie oparte na zachowaniu systemu blokuje szyfrowanie i zmiany plików w trakcie ataku. Złośliwe zmiany można potem wycofać.

Czy działa na Windows XP? Tak. Według karty katalogowej FortiEDR obsługuje Windows XP SP2 i Windows Server 2003 SP2, a producent deklaruje dla nich pełny zestaw funkcji. To ważne w środowiskach OT, w których systemu nie da się zaktualizować.

Jak wygląda wpływ na wydajność? Fortinet opisuje agenta jako lekkiego; karta katalogowa podaje górne limity zużycia procesora, pamięci i dysku, zależne m.in. od licencji threat hunting. Przed wdrożeniem warto zestawić je z zasobami najstarszych maszyn.

Co to są playbooks? Reguły automatycznej reakcji na incydent. Na podstawie klasyfikacji incydentu i grupy urządzeń wykonują akcje takie jak izolacja urządzenia, usunięcie pliku, zakończenie procesu, powiadomienie użytkownika czy otwarcie zgłoszenia.

Czy FortiEDR może działać bez zabijania procesów? Tak. Po wykryciu podejrzanego zachowania FortiEDR blokuje procesowi komunikację wychodzącą i dostęp do systemu plików, co według producenta pozwala utrzymać ciągłość pracy nawet na zainfekowanym urządzeniu. Zakończenie procesu to jedna z akcji playbooka, jeśli tak ustawi administrator.

Jak wygląda threat hunting? FortiEDR analizuje pełną historię logów, mapuje zdarzenia na MITRE ATT&CK i przyjmuje zapytania z zewnętrznych źródeł, tłumacząc składnię wskaźników IoC (np. TAXII) na własną składnię Lucene. Migawki pamięci pozwalają badać ataki działające tylko w pamięci.

Czy wspiera środowiska OT/ICS? Tak. Producent wymienia systemy OT i sterowniki produkcyjne wśród chronionych urządzeń i deklaruje, że FortiEDR utrzymuje dostępność systemów OT także w trakcie incydentu. Wdrożenie można zacząć w trybie symulacji.

Jak integruje się z Security Fabric? Z FortiGate (blokada adresu IP po ataku), FortiNAC (przeniesienie urządzenia do VLAN-u naprawczego), FortiSandbox (automatyczne przesyłanie podejrzanych plików) i FortiSIEM (zdarzenia i alerty), a także z FortiClient EMS przy ocenie stanu urządzenia w ZTNA.

Jak wygląda wsparcie? nFlo jako Advocate Partner Fortinet wdraża FortiEDR, dostraja playbooki i prowadzi usługę Managed EDR/XDR. Sprawy wymagające producenta przekazujemy do wsparcia technicznego Fortinet.

Na jakich systemach działa FortiEDR? Według karty katalogowej: Windows od XP SP2 do 11 (32 i 64 bity), Windows Server od 2003 SP2 do 2025, macOS od El Capitan, Linux (Red Hat Enterprise Linux i CentOS, Ubuntu LTS, Oracle Linux, Amazon Linux, openSUSE Leap, SUSE Linux Enterprise Server), środowiska VDI (VMware Horizon, Citrix) oraz Android i iOS. Aktualną listę wersji warto sprawdzić przed wdrożeniem.

Czy FortiEDR chroni komputer bez połączenia z siecią? Tak. Ochrona i wykrywanie działają na samym urządzeniu, więc agent chroni także stacje odłączone od sieci, np. laptopy w podróży.

Czy FortiEDR można wdrożyć bez ryzyka zablokowania pracy? Producent przewiduje opcjonalny tryb logowania i symulacji: agent rejestruje zdarzenia, a zespół przełącza go w tryb ochrony po przejrzeniu wyników. Taka kolejność ogranicza ryzyko zablokowania aplikacji, której nikt nie uwzględnił w politykach.