Инженер EDR — специалист, который разворачивает систему защиты конечных точек, подключает к ней агентов, настраивает политики и поддерживает продукт в рабочем состоянии. Аналитик SOC читает алерты и расследует инциденты, а инженер отвечает за то, чтобы система работала и видела всю инфраструктуру. Эта статья описывает задачи инженера, нужные навыки и порядок обучения.
Описание опирается на программу курса «Внедрение и администрирование BI.ZONE EDR» (уровень BCE) и на материалы BI.ZONE Education о классе решений EDR.
Чем занимается инженер EDR
EDR (Endpoint Detection and Response) собирает данные с рабочих станций и серверов: процессы, сетевые соединения, файлы, команды. На основе этих данных система обнаруживает угрозы и помогает на них реагировать. Чтобы это работало, кто-то должен установить сервер управления, подключить агентов и задать правила. Эту работу выполняет инженер.
Типовые обязанности:
- проектирует схему развертывания и проверяет требования к инфраструктуре и сети;
- устанавливает сервер управления в типовой конфигурации и выполняет первичную настройку;
- устанавливает и регистрирует агентов на Windows и Linux, проверяет связь с сервером;
- настраивает базовые политики обнаружения и реагирования, группы узлов и исключения;
- следит за состоянием агентов и разбирает типовые сбои подключения;
- обновляет продукт;
- передает команде SOC и службе поддержки понятные инструкции по работе с системой.
Объем задач зависит от компании. В небольшой команде инженер совмещает развертывание с поддержкой, в крупной разные люди отвечают за проектирование, внедрение и эксплуатацию.
Инженер, аналитик и архитектор
Роли часто путают, потому что все трое работают с одной консолью. Различие в задаче и глубине. В сертификации BI.ZONE им соответствуют разные уровни:
| Роль | Основная задача | Уровень | Курс |
|---|---|---|---|
| Инженер | Развертывание в типовой конфигурации, настройка, диагностика | BCE | Внедрение и администрирование BI.ZONE EDR |
| Архитектор | Сложные и распределенные внедрения, интеграции, отказоустойчивость | BCA | Проектирование и внедрение BI.ZONE EDR |
| Аналитик SOC, администратор | Повседневная работа в готовой системе | BCS | Работа с BI.ZONE EDR |
| Менеджер по продажам, пресейл | Позиционирование продукта и пилот | BSC | Специалист по продажам BI.ZONE EDR |
О задачах аналитика подробно написано в статьях «Расследование инцидента в EDR» и «Как вырастить SOC-аналитика».
Какие навыки нужны
Для работы с EDR важно знать интерфейс продукта, а также операционные системы, сетевую активность, типовые техники атак и логику процессов SOC. Из этого складываются три группы навыков.
Технические основы
- Администрирование Windows и Linux: службы, пользователи, права, журналы.
- Сети: маршрутизация, порты, прокси и межсетевые экраны, потому что агент должен связаться с сервером управления.
- Понимание, как устроены процессы и файловая система, чтобы читать телеметрию.
- Командная строка и скрипты для массовых операций.
Знание продукта
- Архитектура: сервер управления, агенты, потоки данных, требования к ресурсам.
- Развертывание в типовой конфигурации и подключение агентов.
- Политики защиты, группы узлов, исключения.
- Диагностика подключения и обновление продукта.
Системные требования и поддерживаемые версии ОС агента уточняйте в документации продукта.
Рабочие навыки
- Точечные исключения вместо широких: исключение по хешу файла или имени процесса сужает слепую зону.
- Документирование настроек, чтобы команда понимала, почему правило работает именно так.
- Взаимодействие с SOC: инженер учитывает, как аналитики разбирают алерты, и настраивает политики под их работу.
Типовые ошибки внедрения — неполный охват инфраструктуры, исключения без документации, отсутствие процесса реагирования — разобраны в статье «Внедрение EDR: типовые ошибки».
Ошибки, которых стоит избегать с первого проекта
Инженеру полезно знать типовые причины неудачных внедрений заранее. Их разбор опирается на статью «Внедрение EDR: типовые ошибки».
- Серые зоны. Агенты стоят на основных хостах, а устаревшие ОС, временные серверы и изолированные подсети остаются без наблюдения. До развертывания составьте реестр хостов по типам ОС и ролям, для узлов без агента определите компенсирующие меры.
- Режим только мониторинга без срока. Запуск в режиме аудита оправдан в начале. Затем нужны критерии перехода к блокировке: уровень ложных срабатываний, покрытие критичных хостов, отработанные процедуры.
- Исключения. Широкие исключения по директориям делают систему слепой, а их отсутствие засыпает аналитиков ложными срабатываниями. Исключайте точечно и фиксируйте причину.
- Нет процесса вокруг продукта. Перед запуском в рабочую среду договоритесь, кто читает алерты, когда и по какому порядку эскалирует.
Эти ошибки инженер замечает раньше всех, поскольку видит систему изнутри. На стенде их удобно воспроизвести и разобрать без риска для рабочей инфраструктуры.
Путь обучения
Порядок удобно строить по шагам. Каждый шаг заканчивается результатом, который можно проверить.
- Основы. Разберитесь, что делает EDR и чем он отличается от антивируса. Начните со статей «Что такое EDR» и «EDR и антивирус».
- Технический фундамент. Закройте пробелы по Windows, Linux и сетям. Проверка: вы можете объяснить, как агент находит сервер управления и что происходит при потере связи.
- Курс уровня BCE. Программа «Внедрение и администрирование BI.ZONE EDR» занимает 36 часов и состоит из пяти блоков: архитектура, развертывание в типовой конфигурации, подключение агентов, политики защиты, диагностика и эксплуатация.
- Практика на стенде. Лабораторные работы проходят на персональном облачном стенде: сервер управления и защищаемые узлы на Windows и Linux. Стенд открывается из браузера, локально ничего ставить не нужно.
- Проверка компетенций (экзамен) и сертификат. Проверка проходит как тестирование или лабораторная работа с тренером. Сертификат BCE подтверждает уровень владения продуктом, действует один год и продлевается повторной проверкой.
- Следующий уровень. После BCE открывается курс BCA на 64 часа для сложных и распределенных внедрений. Для BCA нужен действующий сертификат BCE по тому же продукту.
Для подготовки к проверке по материалам платформы ориентир по времени такой: инженеру требуется около месяца. Цена курса BCE — 70 000 ₽ (ориентир, РРЦ), проверка компетенций (экзамен) — 20 000 ₽.
Что вы будете уметь после курса BCE
- Разворачивать BI.ZONE EDR в типовой конфигурации инфраструктуры заказчика.
- Подключать и регистрировать агентов на Windows и Linux.
- Настраивать базовые политики защиты и реагирования.
- Диагностировать типовые проблемы эксплуатации и обновлять продукт.
Как проверить себя
- Вы можете нарисовать схему: где стоит сервер управления, как к нему подключаются агенты, какие порты нужны.
- Вы знаете порядок действий, если агент на сервере Linux перестал отвечать.
- Вы можете объяснить, почему исключение по директории опаснее исключения по хешу файла.
- Вы понимаете, какие данные из консоли нужны аналитику SOC, и можете показать, где их найти.
- Вы подготовили инструкцию по обновлению продукта.
Если на два-три пункта ответа нет, вернитесь к соответствующему блоку программы и повторите задание на стенде.
Частые вопросы
Чем инженер EDR отличается от аналитика SOC?
Инженер разворачивает и настраивает систему, аналитик работает в ней ежедневно: разбирает алерты и расследует инциденты. В сертификации BI.ZONE инженеру соответствует уровень BCE, аналитику и администратору — уровень BCS.
Нужен ли опыт, чтобы пойти на курс BCE?
Курс рассчитан на инженеров внедрения, администраторов и специалистов поддержки, которые отвечают за агентов защиты на рабочих станциях и серверах. Для начала нужны базовые знания Windows, Linux и сетей.
Нужно ли устанавливать продукт на свой компьютер?
Нет. Практика проходит на персональном облачном стенде с развернутым BI.ZONE EDR, который открывается из браузера по защищенному доступу.
Сколько стоит подготовка?
Курс BCE — 70 000 ₽ (ориентир, РРЦ), проверка компетенций (экзамен) — 20 000 ₽. Цены могут уточняться, актуальные условия смотрите на странице курса.
Что дальше после уровня BCE?
Следующий шаг — уровень BCA для архитекторов. Он открыт специалистам с действующим сертификатом BCE по BI.ZONE EDR. Параллельно можно пройти курс BCS, если в работе нужна повседневная эксплуатация готовой системы.
Практика на стендах
Курс «Внедрение и администрирование BI.ZONE EDR» строится вокруг лабораторных работ на изолированном стенде. Полная программа подготовки и сертификации по продукту собрана на хабе обучения по BI.ZONE EDR. Выбрать курсы по другим направлениям поможет статья «Как выбрать курсы по информационной безопасности». По вопросам обучения пишите на edu@bi.zone.