O FortiEDR parte de uma premissa que vale entender antes de olhar os componentes: o momento decisivo não é quando um arquivo chega, e sim quando um processo tenta fazer algo que não deveria. A arquitetura toda decorre disso.

Os componentes

Os Collectors (coletores) rodam nos endpoints. Eles observam o comportamento dos processos e, o que é fundamental, conseguem bloquear uma ação no momento em que ela é tentada, em vez de só reportá-la depois.

Os Aggregators (agregadores) são o ponto de concentração para onde os collectors reportam. Eles existem para que, num parque grande, os endpoints não falem todos direto com o core, e para que os endpoints tenham algo acessível por perto.

Os Cores fazem a análise mais profunda do que os aggregators encaminham.

O Central Manager é o console: políticas, inventário, eventos, investigação.

O Fortinet Cloud Service () fornece a inteligência de classificação. Quando um collector vê algo suspeito, é o FCS que transforma "este processo fez algo incomum" em "isto é sabidamente malicioso" ou "isto é benigno".

Esse último merece atenção pelo que acontece quando ele fica indisponível. O collector continua aplicando a política que tem e continua bloqueando no momento da ação; o que piora é o enriquecimento que reduz os falsos positivos. Operar sem o FCS não é o mesmo que operar sem proteção, mas também não é o mesmo que operar normalmente.

Implantação

Instalar o collector é uma distribuição de software como qualquer outra, feita pela ferramenta que gerencia o seu parque. O que realmente dá problema está em outros pontos:

Collector groups (grupos de collectors) definem quais políticas se aplicam. É a mesma armadilha dos perfis do EMS: uma política correta, mas atribuída a um grupo do qual o endpoint não faz parte, resulta num endpoint fazendo uma coisa completamente diferente.

Caminho de comunicação. Os collectors precisam alcançar um aggregator. Um endpoint remoto que não consegue isso está desprotegido no sentido que importa: roda a última política que conhece, sem reportar nada e sem receber atualizações.

Convivência com outros softwares de endpoint. Dois produtos interceptando ao mesmo tempo a execução de processos são uma fonte conhecida de instabilidade, e vale configurar com cuidado as exclusões de cada um desde o início, e não depois do primeiro crash.

Multi-tenancy

Quando uma mesma implantação atende várias organizações (um provedor de serviços gerenciados ou um grupo com unidades de negócio realmente separadas), o separa umas das outras. Cada tenant (inquilino) tem os próprios collectors, políticas, eventos e administradores, e não enxerga os demais.

O ponto de arquitetura é que a separação acontece na camada de gerência, enquanto a infraestrutura pode ser compartilhada. Isso faz da atribuição de tenant um controle de segurança, e não uma conveniência de organização, com o mesmo peso da atribuição de (rede local virtual) num fabric de switching compartilhado.

Inventário e ferramentas de sistema

O inventário é a resposta para "o que está protegido de fato", e é mais útil do que parece, porque os incidentes acontecem justamente na diferença entre o parque que você acha que tem e o parque que está reportando.

Vale olhar com regularidade, e não durante um incidente:

  • Collectors que não reportam. Cada um é um endpoint rodando uma política desconhecida, sem nenhuma visibilidade.
  • Mistura de versões. Versões antigas do collector podem não ter detecções que as mais novas têm.
  • Endpoints não gerenciados, quando a rede mostra um equipamento que o inventário não mostra.

A API

O FortiEDR expõe uma API de gerência, que na prática serve para três coisas: puxar eventos para um (security information and event management), automatizar a resposta a partir de uma plataforma de orquestração e gerar relatórios de toda a frota sem ficar clicando no console.

O valor de trabalhar via API está na consistência, mais do que na velocidade. Uma ação executada pela API é a mesma ação todas as vezes, e é isso que a torna segura para ser disparada automaticamente.

O que quem vai fazer a prova precisa saber de cor

Os collectors observam o comportamento dos processos nos endpoints e conseguem bloquear no momento da ação; os aggregators concentram o reporte deles; os cores analisam; o Central Manager é o console. O Fortinet Cloud Service fornece a inteligência de classificação, e perdê-lo piora o enriquecimento, mas não tira a aplicação das políticas. Os collector groups decidem quais políticas se aplicam, e um endpoint no grupo errado é a causa mais comum de comportamento inesperado. O multi-tenancy separa os tenants na camada de gerência, sobre uma infraestrutura que pode ser compartilhada. O valor do inventário está em encontrar os endpoints que não estão reportando.