EDR (Endpoint Detection and Response)

EDR (Endpoint Detection and Response) to oprogramowanie agentowe instalowane na stacjach roboczych i serwerach, czyli punktach końcowych, które rejestruje szczegółową telemetrię systemu, wykrywa działania napastnika i pozwala zdalnie zareagować, np. odciąć host od sieci. Polskie media i CERT Polska piszą zwykle o „oprogramowaniu klasy EDR” ^[2]. Niebezpiecznik opisuje narzędzia EDR jako uzupełnienie antywirusa, który sam nie wystarcza wobec pełnego spektrum współczesnych zagrożeń ^[1]. CERT Polska wymienia EDR obok innych systemów bezpieczeństwa: AV, IDS i IPS ^[7].

Jak działa

Na każdym chronionym komputerze działa agent. Zbiera zdarzenia: uruchamiane procesy, zmiany plików, połączenia sieciowe, logowania. Dane trafiają do konsoli, gdzie reguły i analityka szukają zachowań typowych dla ataku. Niebezpiecznik podaje, że EDR analizuje wątpliwe pliki pod kątem złośliwej zawartości i opiera się na analizie procesów typowych dla stacji roboczych ^[1]. Przy wykryciu zagrożenia uruchamia zestaw działań przewidzianych przez administratora, np. odcina zainfekowane urządzenie od sieci firmowej ^[1].

RYS. 1Wykrycie i izolacja hosta przez EDR

Dokumentacja Microsoft Defender for Endpoint pokazuje, jak wyglądają takie działania w praktyce. Izolacja odłącza przejęte urządzenie od sieci, ale zostawia połączenie z usługą Defender, która dalej je monitoruje ^[4]. Ma to zapobiec przejęciu kontroli nad urządzeniem przez napastnika i dalszym działaniom, takim jak eksfiltracja danych i lateral movement ^[4]. Inne działania to zebranie pakietu dochodzeniowego, uruchomienie skanowania i ograniczenie uruchamiania aplikacji ^[4]. Izolacja jest dostępna także na serwerach z Linuksem ^[4].

EDR a pokrewne narzędzia

Pokrewne kategorie to XDR (Extended Detection and Response), który rozszerza wykrywanie poza punkty końcowe, MDR (Managed Detection and Response), czyli usługa zewnętrznego zespołu obsługującego alerty, oraz SIEM (Security Information and Event Management), zbierający logi z wielu systemów.

Klasyczny antywirus polega w dużej mierze na wykrywaniu sygnaturowym i heurystycznym. EDR pozwala też zebrać z urządzenia pakiet danych, który pokazuje jego bieżący stan oraz narzędzia i techniki użyte przez napastnika ^[4]. To przydaje się w polowaniu na zagrożenia (threat hunting) i w analizie po incydencie. NIST w wytycznych do zabezpieczania danych medycznych wymienia EDR wśród narzędzi zarządzania urządzeniami, obok MDM ^[6].

W WordPressie

Strona WordPress działa na serwerze, a nie na stacji roboczej, i EDR nie jest dla niej typowym zabezpieczeniem. Na hostingu współdzielonym klient nie może zainstalować agenta, a za ochronę systemu odpowiada dostawca. Na własnym serwerze VPS agent EDR dla Linuksa jest możliwy ^[4].

Dla właściciela strony ważniejsze bywa co innego: komputer administratora. Dokumentacja WordPress.org podaje, że w wielu przypadkach źródło ataku lub infekcji jest na lokalnym komputerze, gdzie trojany przechwytują dane logowania do FTP i /wp-admin ^[5]. Zaleca pełne skanowanie komputera, a nawet użycie innego skanera, bo część złośliwego oprogramowania ukrywa się przed antywirusem ^[5]. Tu EDR może zatrzymać infostealer, zanim dane uwierzytelniające trafią do napastnika.

Po stronie samego WordPressa podobną rolę, choć w węższym zakresie, pełnią skanery złośliwego oprogramowania, monitorowanie integralności plików i dzienniki wtyczek bezpieczeństwa. Wykrywają one m.in. webshell czy zmienione pliki rdzenia, ale nie widzą procesów systemu operacyjnego.

Utrzymanie

EDR wymaga stałej opieki, jak każde narzędzie wykrywające. W rekomendacjach z 24 lutego 2022 roku, wydanych w związku z sytuacją na Ukrainie, CERT Polska zalecał automatyczne aktualizowanie sygnatur systemów bezpieczeństwa typu AV, EDR, IDS i IPS ^[7]. Agent musi działać na wszystkich urządzeniach, które mają być chronione; host bez agenta jest dla konsoli niewidoczny. Reguły trzeba dostrajać do zwykłej pracy organizacji, bo zbyt czułe generują szum, a zbyt luźne przepuszczają atak. Uprawnienia do działań takich jak izolacja urządzenia przydziela się rolom; w Defender for Endpoint wymaga to co najmniej roli pozwalającej na aktywne działania naprawcze ^[4].

Skuteczność i ograniczenia

EDR daje efekt tylko wtedy, gdy ktoś reaguje na alerty. W raporcie z sierpnia 2026 roku CISA opisała ćwiczenia zespołu red team w dwóch organizacjach ^[3]. W jednej z nich SOC otrzymał alerty EDR o średnim i niskim priorytecie związane z działaniami atakujących, ale na nie nie zareagował ^[3]. Zasłoniły je tysiące fałszywych alarmów z normalnej pracy firmy ^[3]. W drugiej organizacji alerty obsłużono, a stacje izolowano w ciągu 2 do 20 minut ^[3].

Ten sam raport pokazuje sposoby obchodzenia EDR. Zespół użył zmodyfikowanego narzędzia, dostosowanego do unikania statycznych sygnatur EDR ^[3]. Ruch własnych narzędzi przepuszczał przez przejęty wcześniej host, omijając ograniczenia nałożone przez EDR działający na tym hoście ^[3]. Wniosek: EDR nie chroni urządzeń, na których go nie ma, a hałaśliwa konfiguracja prowadzi do zmęczenia alertami. CISA zaleca ograniczenie szumu, tak by odróżniać zwykłe czynności administracyjne od możliwych działań napastnika ^[3].

Historia i przykłady

29 grudnia 2025 roku doszło do skoordynowanych ataków na co najmniej 30 farm wiatrowych i fotowoltaicznych, prywatną firmę produkcyjną i dużą elektrociepłownię w Polsce ^[2]. Celem ataku na elektrociepłownię było nieodwracalne uszkodzenie danych za pomocą złośliwego oprogramowania typu wiper ^[2]. Atakujący wcześniej długo infiltrował infrastrukturę i uzyskał dostęp do kont uprzywilejowanych ^[2]. Według raportu CERT Polska opublikowanego w styczniu 2026 roku, w chwili próby uruchomienia złośliwe oprogramowanie zostało zablokowane przez używane w podmiocie oprogramowanie klasy EDR ^[2]. Przykład pokazuje, że EDR bywa ostatnią linią obrony, gdy napastnik ma już uprzywilejowany dostęp; wcześniejsze etapy takiego ataku opisują hasła czas przebywania atakującego w sieci i reagowanie na incydenty.