- Início
- Soluções
- Endpoint Protection as a Service
- Causa raiz e EDR
Endpoint Protection as a Service · Recurso
Análise de causa raiz e investigação (EDR)
Bloquear o ataque é metade do trabalho. A outra metade é saber como ele entrou, para fechar a porta e evitar que se repita.
O que é
Análise de causa raiz e investigação (EDR), sem complicação
A análise de causa raiz reconstrói o caminho de uma ameaça: por onde entrou, quais processos criou, que arquivos e chaves de registro alterou, com quais endereços se comunicou. O resultado costuma ser apresentado como uma linha do tempo ou um gráfico de eventos, a partir dos dados coletados pelo agente.
Esse é o núcleo do EDR (Endpoint Detection and Response): registrar continuamente a atividade dos dispositivos para permitir investigar e responder. O XDR estende a mesma ideia a outras fontes, como firewall, e-mail e nuvem, para relacionar eventos de várias camadas.
Com a causa raiz em mãos, o time de TI deixa de tratar apenas o sintoma. Se o ataque começou por um anexo, revisa-se a proteção de e-mail; se começou por uma falha sem correção, prioriza-se o patch; se envolveu uma credencial, troca-se a senha e revisa-se o acesso. Conforme a plataforma, a console também oferece ações de resposta, como isolar a máquina da rede, encerrar processos e remover arquivos, e permite procurar o mesmo indicador em outros dispositivos.
Como funciona
Passo a passo
- 01
Registro contínuo de eventos
O agente guarda a atividade relevante da máquina: processos, arquivos, registro e conexões.
- 02
Montagem da cadeia do ataque
A partir de uma detecção, a console reconstrói a sequência de eventos desde o ponto de entrada.
- 03
Busca em outros dispositivos
Arquivos, endereços e outros indicadores do ataque podem ser procurados nas demais máquinas do ambiente.
- 04
Ações de resposta
Conforme a plataforma, é possível isolar a máquina, encerrar processos, remover arquivos e reverter alterações.
- 05
Correção da origem
Com a causa identificada, o time ajusta políticas, aplica correções ou revisa acessos para que o ataque não se repita.
Por que importa
O que muda para a sua empresa
Sem causa, o ataque volta
Limpar uma máquina sem entender a porta de entrada deixa a mesma porta aberta para o próximo ataque.
Dimensionar o incidente
Saber quais máquinas, contas e dados foram envolvidos é essencial para responder ao incidente e decidir os próximos passos.
Apoio a obrigações legais
Em incidentes com dados pessoais, entender o que aconteceu ajuda a empresa a avaliar e documentar suas obrigações perante a LGPD.
Melhoria contínua da proteção
Cada investigação mostra onde a defesa pode ser reforçada, seja em política, atualização ou treinamento.
Na prática
Situações do dia a dia
Distribuidora após um bloqueio de ransomware
A causa raiz mostra que o ataque começou por um anexo de e-mail aberto no financeiro. A empresa reforça a proteção de e-mail e treina a equipe.
Clínica com alerta em um servidor
A investigação revela uma falha sem correção no serviço exposto. O patch é priorizado e o mesmo indicador é procurado nas outras máquinas.
Escritório com notebook suspeito
A máquina é isolada da rede pela console enquanto a investigação acontece, e volta ao uso normal depois da limpeza.
Na Strema
Como entregamos Causa raiz e EDR
No Endpoint Protection as a Service, a Strema usa os recursos de investigação da plataforma para analisar as detecções relevantes, explicar a origem ao seu time e recomendar as correções.
Para quem precisa de analistas investigando e respondendo de forma contínua, a Strema oferece o MDR e o Strema Guardian, com XDR e SOC 24/7, como opções complementares.
Qual a diferença entre EDR e XDR?
O EDR coleta e analisa dados dos dispositivos. O XDR amplia a análise para outras fontes, como firewall, e-mail, identidade e nuvem, e relaciona os eventos entre elas.
A análise de causa raiz é automática?
A plataforma monta a cadeia de eventos automaticamente. A interpretação e a decisão sobre as correções dependem de pessoas com experiência em investigação.
Isolar a máquina interrompe o trabalho do usuário?
Sim, a máquina perde o acesso à rede, mantendo apenas a comunicação com a console. É uma medida para conter o ataque enquanto ele é investigado.
Os eventos ficam guardados por quanto tempo?
Depende da plataforma e da licença contratada. Esse ponto é definido no projeto, de acordo com a necessidade de investigação da empresa.
Continue explorando
Recursos relacionados
No blog
Todos os recursos de Endpoint Protection as a Service
Fale conosco
Quer Causa raiz e EDR protegendo a sua empresa?
Fale com um Stremer especialista hoje mesmo.
- Telefone4003-7886
- Horário de atendimentoSegunda a sexta-feira, das 07h às 19h.
- Belo HorizonteAvenida Sebastião de Brito, 525
Dona Clara, Belo Horizonte - MG - São PauloRua Gomes de Carvalho, 1629
Vila Olímpia, São Paulo - SP