Да, но определение гипервизора заключается в том, что большое количество блоков постоянно изменяется. Более того, я сильно сомневаюсь, что EDR вообще осознает трафик типа Ceph и может интегрироваться в него. Даже файл QCOW2 — это всего один файл, тебе нужно зашифровать всего несколько блоков, чтобы сделать его совершенно непригодным для использования. Опять же, ты описываешь ситуацию на Linux-клиентах, где люди с браузерами делают глупости, а не на гипервизоре, и для тех да, есть EDR. Трафик на C&C-серверы — ему уже пришлось бы знать (заблокировать) их, и это кажется мне задачей, которую лучше решать на периметре с помощью IDS, интегрированного в брандмауэры. Моя позиция заключается в том, что как только программа-вымогатель получает достаточные права для начала своей атаки, уже слишком поздно, у нее глубокий доступ в твою сеть и, к тому же, root-доступ в этот момент. Если это произошло на твоем гипервизоре, ты взломан, тебе нужно отключить свой дата-центр, стереть компьютеры администраторов, стереть твои jump-хосты, стереть весь кластер и восстанавливаться из… снимков и резервных копий. У меня нет проблем с EDR как инструментом обнаружения, но то, что ты описываешь, может быть зафиксировано любым SIEM, и, скорее всего, когда атакующий только стучится в дверь. Позволять ему вмешиваться (убивать ВМ, зависать ядра, добавлять измеримые задержки при вызовах чтения/записи и т.д.) всегда было проблемой для нас, особенно в кластерах, ты потенциально зависаешь весь кластер, потому что CrowdStrike использует своих клиентов для тестирования динамического обновления — это произошло дважды на Linux до печально известного сбоя Windows, именно поэтому, даже на ВМ мы больше не позволяем EDR работать в качестве модуля ядра — ему приходится использовать BPF вместо этого. Мне бы очень хотелось услышать о хорошем EDR-инструменте для Linux, который a) строит интерфейс ядра независимо от версии ядра b) не вмешивается в законные операции и c) может на самом деле обнаруживать «плохое поведение» как на хосте, так и в ВМ и контейнерах. Сейчас кажется, что большинство поставщиков EDR просто там, чтобы отметить галочку, что у них также есть Linux (и то же самое можно сказать о Mac), но они обнаруживают только Windows-угрозы и Windows-подобное поведение, повторяют ту же атаку на Python, и ничего не обнаруживают.
