Традиционный антивирус сегодня блокирует до 90% известных угроз, но пропускает почти 100% целевых атак, использующих Living-off-the-Land (LotL) техники. В условиях, когда среднее время пребывания злоумышленника в сети (dwell time) составляет от 10 до 20 дней, полагаться на сигнатурный анализ — значит оставить инфраструктуру открытой для шифровальщиков.
Реактивность антивируса против проактивности EDR
Классический антивирус (EPP) работает по принципу «черного списка»: он ищет совпадения хеш-сумм файлов с базой известных вирусов. Это эффективно против массового вредоносного ПО, но бесполезно против fileless-атак, где код исполняется прямо в оперативной памяти через PowerShell или WMI. EDR (Endpoint Detection and Response) не ищет «плохой файл», он ищет «плохое поведение».
Пример: запуск процесса powershell.exe, который скачивает зашифрованный скрипт из сети и внедряет его в память процесса explorer.exe. Антивирус промолчит, так как PowerShell — легитимный инструмент Windows. EDR зафиксирует аномальную цепочку событий и создаст алерт. Экспертный вывод: антивирус — это забор, EDR — это система видеонаблюдения с датчиками движения внутри здания.
Экономика внедрения: стоимость владения и ресурсы
Стоимость лицензий антивируса в корпоративном сегменте начинается от $10-20 за узел в год. EDR обходится значительно дороже: от $50 до $120 за узел, в зависимости от объема хранимых телеметрических данных (обычно от 7 до 30 дней хранения). Однако цена ошибки при отсутствии EDR в сети на 500 рабочих станций может составить от $50 000 до $200 000 только на восстановление данных и простой бизнеса при атаке шифровальщика.
Важный нюанс: EDR требует квалифицированного аналитика (SOC L1/L2). Если вы покупаете EDR, но у вас нет специалиста, который разберется в дереве процессов, вы просто платите за дорогой генератор уведомлений. В таком случае оптимальным решением становится MDR (Managed Detection and Response) с внешней поддержкой, что добавляет к стоимости еще $30-60 за узел.
Слепые зоны: почему сигнатуры больше не работают
Современные атакующие используют полиморфизм: один и тот же вирус может иметь тысячи разных хеш-сумм, что делает сигнатурный поиск бессмысленным. Более того, около 40% современных атак не используют исполняемых файлов вообще. Они эксплуатируют доверенные механизмы ОС, что делает необходимым внедрение архитектуры Zero Trust, чтобы ограничить возможности даже легитимных инструментов.
Кейс: атака через макрос в Excel, который вызывает mshta.exe для загрузки полезной нагрузки. Антивирус проверит файл Excel (он чист) и mshta.exe (он системный). EDR увидит подозрительный переход от офисного приложения к системному интерпретатору и заблокирует сетевое соединение. Экспертный вывод: защита должна сместиться с анализа объектов на анализ взаимосвязей между ними.
Интеграция в общую стратегию защиты предприятия
EDR не является полноценной заменой антивирусу, а дополняет его, создавая многослойный стек. Данные с конечных точек должны стекаться в единый центр мониторинга. Интеграция SIEM-систем в инфраструктуру предприятия позволяет сопоставить алерт от EDR с событиями из сетевого экрана и логами Active Directory, сокращая время обнаружения инцидента (MTTD) с нескольких дней до нескольких минут.
Ошибка многих компаний — установка EDR в режиме «только мониторинг» из страха заблокировать бизнес-процессы. Это превращает инструмент защиты в дорогой журнал аудита. Правильный подход: поэтапный переход от мониторинга к автоматизированному реагированию (изоляция хоста от сети) в течение 2-3 месяцев после развертывания. Экспертный вывод: EDR без интеграции с SIEM и четких регламентов реагирования дает лишь иллюзию контроля.
Вывод
Выбор между антивирусом и EDR — это выбор между «надеждой на отсутствие атаки» и «готовностью к ней». Для малого бизнеса с простым ландшафтом достаточно современного EPP с элементами поведенческого анализа. Однако для предприятий среднего и крупного бизнеса, имеющих доступ к критическим данным, внедрение EDR является обязательным. Мой совет: начинайте с гибридных решений (EPP+EDR) и обязательно закладывайте бюджет на MDR-сервис, если у вас нет собственного штата аналитиков. Избегайте покупки «коробочных» EDR без предварительного аудита сети, иначе объем ложноположительных срабатываний парализует вашу IT-службу в первую же неделю.