Het korte antwoord: antivirus kijkt naar bestanden, EDR kijkt naar gedrag. Dat klinkt als een detail en het is het belangrijkste onderscheid in werkplekbeveiliging vandaag.
Antivirus
Antivirus vergelijkt wat er op uw toestel staat met een lijst van bekende schadelijke bestanden. Dat werkt uitstekend tegen wat al eerder gezien is, en dat is nog altijd het overgrote deel van het volume. Elke moderne Windows-computer heeft het ingebouwd.
De beperking zit in het woord bekend. Een bestand dat één keer gewijzigd is, staat niet meer op de lijst. En een aanvaller die helemaal geen bestand gebruikt, komt op geen enkele lijst voor.
EDR
EDR let op wat er gebeurt: welk proces start welk ander proces, welk account doet iets wat het nooit doet, welk toestel begint plots te zoeken naar andere toestellen. Er is geen lijst nodig van wat slecht is — er is een beeld nodig van wat normaal is.
Daardoor ziet EDR ook aanvallen waarbij niets geïnstalleerd wordt: iemand die inlogt met een gestolen wachtwoord en verder werkt met de beheertools die al aanwezig zijn.
Het tweede verschil: er is iemand
Antivirus zet iets in quarantaine en meldt dat. EDR levert een alarm dat beoordeeld moet worden, want gedrag is zelden zwart of wit. Zonder iemand die dat beoordeelt, krijgt u meldingen die niemand leest.
Daarom bestaat Managed EDR: analisten die de alarmen wegen, ook ‘s nachts, en die bij een bevestigde dreiging het toestel meteen isoleren.
Heeft u dan nog antivirus nodig?
Ja, en die heeft u waarschijnlijk al. EDR vervangt antivirus niet, het komt erbovenop — in de meeste oplossingen zit beide in dezelfde agent. De vraag is dus niet welke van de twee, maar of er iemand naar het tweede deel kijkt.
Meer uitleg in wat is EDR, of doe de gratis cyberscan om te zien wat er vandaag op uw toestellen draait.