EDR
Endpoint Detection and Response. Software, der overvåger adfærd på computere og servere, opdager tegn på angreb og kan reagere på dem.
Kort svar
EDR (Endpoint Detection and Response) er software på computere og servere, der løbende registrerer, hvad der sker – hvilke programmer der starter, hvilke filer der ændres, og hvilke forbindelser der oprettes. Ud fra adfærden opdager EDR tegn på angreb, også når der ikke er tale om kendt skadelig software, og kan reagere, fx ved at isolere en computer fra netværket. EDR er ét lag i endpointbeskyttelse og giver mest værdi, når nogen følger op på alarmerne.
- RegistrererProcesser, filændringer, logins og netværksforbindelser på enheden.
- OpdagerGenkender adfærd, der ligner et angreb – også ukendt skadelig software.
- SamlerBeslægtede alarmer samles til én hændelse, så helheden kan ses.
- ReagererIsolerer enheden, stopper en fil eller starter en scanning.
Hvad EDR gør, som antivirus ikke gør
Traditionelt antivirus forsøger at stoppe skadelig software, før den kører, primært ud fra kendte kendetegn. Moderne antivirus som Microsoft Defender Antivirus bruger også adfærdsanalyse, så grænsen er blevet mere flydende. Forskellen er især, at EDR registrerer og gemmer forløbet på enheden, så man bagefter kan se, hvad der skete – og at EDR kan bruges til at reagere på et angreb, der allerede er i gang.
Microsoft beskriver EDR ud fra en “assume breach”-tankegang: Man går ud fra, at noget før eller siden slipper igennem, og sørger for at kunne opdage og begrænse det hurtigt.
| Antivirus | EDR | |
|---|---|---|
| Hovedopgave | Forhindre, at skadelig software kører | Opdage og reagere på angreb |
| Ser på | Filer og programmer | Adfærd og forløb over tid |
| Efter et angreb | Viser hvad der blev blokeret | Viser hele forløbet på enheden |
| Kræver opfølgning | Lidt | Ja – alarmer skal vurderes |
Hvad EDR kan gøre, når noget er galt
Når EDR opdager noget mistænkeligt, oprettes en alarm. Alarmer, der hører til samme angreb, samles til en hændelse (på engelsk incident), så man ser sammenhængen i stedet for 20 enkelte advarsler.
I Microsoft Defender for Business og Defender for Endpoint Plan 1 er de manuelle reaktioner bl.a. at isolere enheden fra netværket, stoppe og sætte en fil i karantæne, køre en antivirusscanning og blokere en bestemt fil. Defender for Business har desuden automatisk undersøgelse og afhjælpning, og Microsoft kan i nogle tilfælde automatisk afbryde et igangværende angreb, fx ved at isolere en enhed eller deaktivere en kompromitteret brugerkonto.
Eksempel: En medarbejder hos en VVS-virksomhed åbner en vedhæftet fil, der starter et ukendt program. Programmet begynder at kontakte en ukendt server og ændre indstillinger. EDR genkender mønstret, opretter en hændelse og isolerer computeren fra netværket, så angrebet ikke spreder sig til fællesdrevet.
EDR, SIEM og SOC – hvordan de hænger sammen
EDR kigger på den enkelte enhed. Et SIEM samler logs fra mange systemer – fx firewall, Microsoft 365 og servere – for at se mønstre på tværs. En SOC er de mennesker, der overvåger alarmerne fra EDR, SIEM og andre kilder og beslutter, hvad der skal gøres. Når man taler om XDR (Extended Detection and Response), er det en udvidelse af EDR, der også trækker signaler ind fra mail, identiteter og cloud.
Typiske misforståelser
- “EDR er bare et bedre antivirus.” EDR supplerer antivirus. De bruges sammen.
- “EDR passer sig selv.” Nogle trusler håndteres automatisk, men mange alarmer kræver en vurdering. Uden opfølgning går en del af værdien tabt.
- “EDR er en log over alt, hvad medarbejderne gør.” Microsoft skriver selv, at EDR ikke er en revisions- eller logningsløsning, der registrerer hver eneste handling. Det er et sikkerhedsværktøj.
Spørgsmål I kan stille
- Har alle vores computere og servere EDR, eller kun nogle af dem?
- Hvem ser alarmerne – også uden for arbejdstid?
- Hvad må der gøres automatisk, fx isolering af en computer, og hvem informeres?
- Hvor længe kan vi gå tilbage og se forløbet efter en hændelse?
Hvornår giver det mening at få hjælp?
Hvis I har EDR, men ingen fast aftale om, hvem der reagerer på alarmerne, er det det første, der bør afklares. Furesø Data kan hjælpe med opsætning og med at koble EDR sammen med overvågning.
Spørgsmål og svar
Er EDR det samme som antivirus?
Nej. Antivirus forsøger at forhindre, at skadelig software kører. EDR overvåger adfærden på enheden, opdager angreb, der er sluppet igennem, og kan reagere. De bruges typisk sammen.
Skal nogen følge med i alarmerne?
Ja. En del håndteres automatisk, men alarmer skal vurderes af et menneske, før man ved, om der er tale om et angreb. Det er den opgave, en SOC løser.
Har vi EDR, hvis vi har Microsoft 365 Business Premium?
Business Premium indeholder Microsoft Defender for Business, som har EDR. Funktionen skal dog være sat op, og computerne skal være tilmeldt, før den beskytter.
Forbehold: Teksten er en generel forklaring. EDR kan ikke opdage eller stoppe alle angreb, og funktionerne afhænger af produkt, licens og opsætning.
Kilder (tjekket 31. oktober 2026)