Päätepisteiden havaitseminen ja reagointi sotilasverkoissa: EDR luokitelluissa ympäristöissä

Vihollinen, jolla on pysyvä pääsy luokiteltuun sotilastyöasemaan, ei ilmoita itsestään. Se toimii hiljaisesti laillisten prosessipuiden sisällä, hyödyntää luotettuja järjestelmäbinäärejä ja liikkuu lateraalisesti enklaavissa protokollien kautta, jotka näyttävät erottamattomilta hallintoliikenteestä. Päätepisteiden havaitseminen ja reagointi (EDR) on tähän toimintaan kehitetty ala: se kerää yksityiskohtaista telemetriaa jokaiselta päätepisteeltä, soveltaa käyttäytymismalleja hyökkäyskuvioiden tunnistamiseksi ja tarjoaa analyytikoille prosessitason näkyvyyden, jota tarvitaan kompromissin laajuuden arvioimiseen ja eristämiseen. EDR:n käyttöönotto luokitelluissa sotilasympäristöissä pakottaa kuitenkin tarkastelemaan uudelleen jokaisen arkkitehtuuriset olettamuksen, joita kaupalliset toimittajat tekevät -- pilvi-telemetriaputkilinjasta uhkatiedustelutilaukseen. Tässä artikkelissa tarkastellaan luokiteltujen verkkojen rajoituksia, jotka muokkaavat EDR-arkkitehtuuria, kehittyneitä uhkia vastaan eniten merkitseviä havaitsemismekanismeja sekä integraatiopolkua EDR:stä sotilaalliseen SIEM:iin ja automaattiseen häiriötilanteiden hallintaan.

Miksi kaupalliset EDR-tuotteet epäonnistuvat luokitelluissa sotilasympäristöissä

Kaupallinen EDR-markkina on rakennettu yhteisen arkkitehtuuriperiaatteen varaan: päätepisteagentti lähettää telemetrian toimittajan ylläpitämään pilvipohjaiseen analytiikkataustapalveluun, jossa uhkien metsästys, koneoppimispäättely ja uhkatiedustelun korrelaatio tapahtuvat suuressa mittakaavassa. Tämä malli tarjoaa reaaliaikaisen havainnointikyvyn yritysasiakkaille, joilla on internet-yhteyden päätepisteet, mutta se ei pysty toimimaan luokitellussa sotilasenklaavissa. Ilmaraolliset verkot, tiukka ulosmenevän liikenteen suodatus ja luokitustason tietojenkäsittelyvaatimukset estävät kaiken lähtevän telemetriavirran kaupalliseen pilveen. Kun verkkoyhteys katkeaa, suurin osa kaupallisen EDR-tuotteen havainnointikyvystä sammuu.

Yhteyden lisäksi kaupalliset EDR-tuotteet ovat riippuvaisia jatkuvista toimittajan hallinnoimista päivityksistä: päivittäisistä tai tunneittaisista allekirjoitusvirroista, käyttäytymismallien uudelleenkoulutuksesta toimittajan uhkatiedustelutietokannassa sekä automaattisista agenttipäivityksistä internet-yhteyden kautta. Luokitellussa ympäristössä jokainen ohjelmistopäivitys on siirrettävä hyväksytyn ristiverkkoratkaisun kautta tai toimitettava siirrettävällä medialla kahden henkilön eheysmenettelyn alaisena. Päivitysjaksot, jotka kaupalliset tuotteet hoitavat automaattisesti minuuteissa, venyvät viikkoihin luokitelluissa ympäristöissä. 30 päivää vanha allekirjoitusvuo on operatiivisesti hyödytön valtiotason vihollista vastaan, joka vaihtaa työkalustoa jatkuvasti. Luokiteltuihin ympäristöihin käyttöönotetun EDR:n on siksi oltava suunniteltu alusta alkaen offline-toimintaan, jolloin uhkatiedustelupäivityksiä käsitellään harkittuna, tarkastettavana toimitusketjutoimintana taustalla tapahtuvan verkkotapahtuman sijaan.

On myös lisensiointi- ja toimittajan pääsyn ulottuvuus, joka saa vähemmän huomiota kuin tekniset rajoitteet. Monet kaupalliset EDR-tuotteet myöntävät toimittajalle jatkuvan etäkäytön hallintakonsoliin tai agenttimääritykseen tukea ja vianmääritystä varten. Luokitellulla järjestelmällä toimittajan etäkäyttö on joko kokonaan kielletty tai se edellyttää erittäin rajoittavaa valvottua pääsysopimusta, jota useimmat kaupalliset toimittajat eivät ole halukkaita tai kykeneviä tukemaan. Tarkoitukseen rakennetut tai avoimen arkkitehtuurin EDR-kehykset, joita asiakas hallitsee kokonaan -- hallintainfrastruktuuri, tunnistusmalli ja päivitysputkilinja mukaan lukien -- ovat ainoita arkkitehtuurisesti puhtaita ratkaisuja kaikkein herkimmille luokitelluille ohjelmille.

EDR-agenttiarkkitehtuuri: telemetrian kerääminen ilman tietovuotoriskiä

EDR-agentti on ytimen tai hypervisorin tason ohjelmistokomponentti, joka asennetaan kullekin päätepisteelle ja instrumentoi käyttöjärjestelmän turvallisuuteen liittyvien tapahtumien kirjaamiseksi: prosessin luominen ja päättyminen täydellisillä komentoriviargunmenteilla, tiedostokirjoitukset ajettaviin ja komentosarjasijainteihin, rekisterin muutokset pysyvyysavainpoluille, verkkoyhteydet kohde-osoitteen ja portin kanssa sekä ohjainten ja DLL-kirjastojen lataamistapahtumat tiivisteen ja allekirjoitustietojen kanssa. Luokitellussa ympäristössä agentin on saavutettava tämä instrumentointi luomatta itsellään tietovuotoriskiä, mikä tarkoittaa, että telemetriaputkilinjan on oltava kokonaan luokitellun enklaaven sisällä ja agentin on todistettavasti vapaa julkistamattomista verkkoviestintäkanavista.

Agentin käyttöönotto luokitelluilla sotilaallisilla päätepisteillä edellyttää ohjelmiston toimitusketjuprosessia, joka on huomattavasti tiukempi kuin kaupallisessa yritystoiminnassa. Agenttibinääri on tarkistettava -- lähdekooditarkistuksen, binäärianalyysin tai molempien kautta -- sen vahvistamiseksi, että se ei sisällä muita telemetriakanavia kuin dokumentoidut, ei automaattisia päivitysmekanismeja eikä kryptografista avainmateriaalia, jota voitaisiin käyttää peitettyjen viestintäyhteyksien muodostamiseen. Tämä tarkistus on toistettava jokaisen agenttiversiopäivityksen osalta ennen käyttöönottoa. Tarkistuksen taakka on ensisijainen syy sille, miksi luokitellut EDR-käyttöönotot suosivat avoimen arkkitehtuurin kehyksiä, joissa asiakkaalla on pääsy koko koodipohjaan, kaupallisten mustan laatikon agenttien sijaan, joiden sisäinen käyttäytyminen on pääteltävä käyttäytymisen seurannasta.

Telemetrian keruun laajuus on virittävä huolellisesti luokkaan soveltuvaksi. Raakoja tiedostosisältöjä tai täydellisiä muistivedoksia jatkuvassa telemetriaputkilinjassa on operatiivisesti epäsuositeltavaa: volyymi on äärimmäinen, kerätyn materiaalin tietojenkäsittelyluokitus voi olla korkeampi kuin päätepisteen oma luokitustaso, ja tallennustila- sekä käsittelyinfrastruktuuri, jota tarvitaan koko telemetriavirran käsittelemiseen suuressa mittakaavassa, ei ehkä ole saatavilla enklaavissa. Tuotannollisissa luokitelluissa EDR-käyttöönotoissa kerätään rakenteellisia tapahtumatietoja -- prosessipuita, verkon virtatiivistelmiä, tiedostopolku- ja tiivistetietoja -- ja varataan raaka muistin keräys vaadittaessa tehtävään rikostekniseen keräykseen, jonka vahvistettu hälytys käynnistää.

Käyttäytymiseen perustuva havainnointi vs. allekirjoitusvertailu: mitä kukin havaitsee ja mitä se jättää huomaamatta

Allekirjoitusvertailu -- tiedostotiivisteiden tai tavusekvenssien vertailu tunnettujen haittaohjelmien tietokantaan -- on nopeaa, tuottaa nolla väärää positiivista tunnistetuille uhille ja aiheuttaa päätepisteelle minimaalisen laskentakuorman. Se on myös rakenteellisesti sokea jokaiselle uhalle, joka ei vastaa tunnettua allekirjoitusta: uusille haittaohjelmille, muokatuille tai uudelleen käännetyille työkaluille, tiedostottomille hyökkäystekniikoille, jotka suoritetaan kokonaan muistista, sekä maastaelämistekniikoille, jotka aseellistavat laillisia käyttöjärjestelmäbinäärejä. Luokiteltuja sotilastietojärjestelmiä vastaan toimivaa valtiotason vihollista vastaan allekirjoitusvertailu yksin tarjoaa käytännöllisesti katsoen nolla havainnointikattavuutta alkuperäiselle tunkeutumiselle, joka käyttää aina tarkoitukseen rakennettuja työkaluja, joita ei ole koskaan aiemmin nähty.

Käyttäytymiseen perustuva havainnointi hylkää kysymyksen siitä, onko tietty binääri tunnetusti haitallinen, ja kysyy sen sijaan, muodostaako järjestelmätason toimintojen sarja tunnetun hyökkäystekniikan. Prosessi, joka synnyttää aliprosessin base64-koodatulla komentoriviargunmentilla, joka sitten muodostaa verkkoyhteyden ulkoiseen IP-osoitteeseen, joka sitten kirjoittaa DLL:n järjestelmähakemistoon, osoittaa pudotusohjelmaan liittyvää käyttäytymiskuviota riippumatta siitä, onko mikään mukana olevista binääreistä koskaan nähty aiemmin. Käyttäytymiseen perustuvat tunnistussäännöt ilmaistaan prosessipuiden, tapahtumasekvenssien ja järjestelmäkutsukuvioiden termein, ja ne yleistyvät koko tekniikkaa toteuttavan työkalujen perheen yli. MITRE ATT&CK -kehys tarjoaa strukturoidun taksonoomian vihollisten tekniikoista, joka toimii käyttäytymiseen perustuvien tunnistussääntöjen kehittämisen viitevaranana, liittäen jokaisen tekniikan havaittaviin telemetriatietotapahtumiin.

Käyttäytymiseen perustuvan havainnoin käytännön rajoitus on väärät positiiviset. Lailliset hallintatyökalut, korjauspäivitysagentit ja tehtäväsovellusten asennusohjelmat tuottavat prosessipuukuvioita, jotka pintapuolisesti muistuttavat hyökkäystekniikoita. PowerShell-komentosarja, joka lukee verkkojaoista, purkaa base64-merkkijonon ja käynnistää .NET-kokoonpanon, on joko ohjelmiston käyttöönottotyökalu tai haittaohjelmapudotin -- käyttäytymiseen perustuva allekirjoitus on identtinen. Väärien positiivisten hallinta luokitelluilla sotilaallisilla päätepisteillä edellyttää perusteellista perusviivaharjoitusta: käyttäytymiseen perustuvan tunnistusmoottori ajamista tarkastustilassa viikkojen ajan jokaisen päätepisteluokan kaikkien laillisten toimintojen kartoittamiseksi, sitten tukahduttamissääntöjen luomista tunnetuille hyviksi kuvioille säilyttäen samalla tunnistuksen samoille kuvioille odottamattomissa yhteyksissä. Tämä viritystyö on työvoimavaltaista ja se on tehtävä uudelleen aina, kun päätepisteiden ohjelmistoperusta muuttuu merkittävästi.

Muistirikostekninen tutkimus ja prosessi-injektion tunnistus sotilaallisilla päätepisteillä

Tiedostoton haittaohjelma ja kehittyneet implantit toimivat kokonaan käynnissä olevien prosessien haihtuvuusmuistissa, kirjoittamatta levylle tiedostoja, joita perinteiset päätepisteiden tietoturvatyökalut voisivat havaita. Reflektiivisen DLL-injektion kautta lailliseen prosessiin, kuten selaimeen tai tehtäväsovellukseen, ladattu implantti selviää loputtomiin luomatta levylle artefakteja. Ainoa luotettava tapa havaita tällainen implantti on tarkastaa käynnissä olevien prosessien muisti suoraan -- etsien ajettavia muistialueita, jotka eivät ole levyllä olevan tiedoston tukemia, API-koukkuketjuja, jotka ohjaavat järjestelmäkutsut hyökkääjän hallitsemaan koodiin, sekä ladattujen kirjastojen muistikuvien ja levykuvien välisiä eroja. Muistirikostekninen tutkimus ei siis ole valinnainen kapasiteetin parannus luokitelluille sotilasverkkojen EDR-käyttöönotoille -- se on ensisijainen havaitsemiskerros kehittyneimmille ja pysyvimmille uhille, joita ympäristö kohtaa.

Prosessi-injektion tunnistus keskittyy tiettyyn joukkoon hyvin karakterisoituja tekniikoita. Reflektiivinen DLL-injektio lataa kirjaston prosessin osoiteavaruuteen suorittamalla itsenäisen latajatyngän, joka ratkaisee tuonnit ja soveltaa sijoitukset käyttämättä käyttöjärjestelmän vakioladattajaa -- jättäen muistialueen, joka on ajettava, kirjoitettava eikä liitetty mihinkään tiedostoon. Prosessin onttoutuminen korvaa äskettäin luodun laillisen prosessin ajettavan kuvan haitallisella koodilla ennen suorituksen jatkamista, tuottaen prosessin, jonka levykuva ei vastaa sen muistin ajettavaa sisältöä. Säikeen kaappaus injektoi koodin olemassa olevan säikeen suorituskontekstiin muokkaamalla säikeen tallennettua rekisteriä. Jokainen näistä tekniikoista jättää erottuvan muistiallekirjoituksen, jonka EDR-agentti voi havaita kävelemällä prosessin osoiteavaruuden läpi, tarkistamalla muistialueen attribuutit ja vertaamalla muistin ajettavaa sisältöä vastaavan tiedoston levykuvaan. Luokitelluilla sotilaallisilla päätepisteillä, joissa prosessiperusviiva on suhteellisen vakaa ja hyvin ymmärretty, näillä tarkistuksilla on korkea signaalinlaatu hallittavilla väärillä positiivisilla.

Eristämistyönkulut: vaarantuneen päätepisteen eristäminen häiritsemättä operaatioita

Ensimmäinen impulssi, kun vahvistettu kompromissi havaitaan, on irrottaa verkkokaapeli -- täydellinen eristys, välittömästi. Tämä vastaus on operatiivisesti asianmukainen yrityksen IT-ympäristölle, jossa työasemat ovat vaihdettavissa. Luokitellussa sotilasympäristössä vaarantunut päätepiste saattaa ajaa aktiivista C2-sovellusta, joka ruokkii tehtävää, sensoritietojen koontiprosessia, kryptografisen avaimen hallintapalvelua tai viestintäreleyttä. Kyseisen isännän täydellinen verkkoeristys voi olla operatiivisesti vastaavaa kuin laitteen tuhoaminen tehtävän keskellä. Eristämispäätöksen on siksi otettava huomioon vaikuttuneen isännän operatiivinen rooli, ja EDR-alustan on tuettava asteittaisia eristämiskäytäntöjä, jotka tasapainottavat turvallisuusvasteen operatiivisen jatkuvuuden kanssa.

Asteittainen eristämismalli soveltaa kohdennettua eristystä blankettiverkon estämisen sijaan. Yleisimmät hyökkäyksen leviämisvektorit vaarantuneelta päätepisteeltä ovat SMB-tiedostojako, RPC- ja DCOM-etäkoodinsuoritukanavat sekä lateraaliseen liikehdintään tarkoitetut työkalut, jotka hyödyntävät hallintaprotokolleja. Näiden tiettyjen protokollien estäminen isäntäpalomuurilla -- säilyttäen samalla sovelluskerroksen tietovuot, joita päätepiste tarvitsee operatiivista toimintaansa varten (TAK Server -syöte, sensoriliitäntä, ääniyhteydet) -- häiritsee hyökkääjän kykyä liikkua lateraalisesti pitäen isännän operatiivisesti toimintakuntoisena. EDR-agentti valvoo tätä käytäntöä Windows Filtering Platform- tai iptables-tasolla, soveltaen hallintakonsolin kryptografisesti allekirjoittamia sääntöjä, joita ei voi poistaa käyttäjätilassa toimiva prosessi, edes vaarantuneella järjestelmänvalvojan tilillä toimiva.

Eristämisohjelmakirjojen kehittäminen edellyttää tiivistä koordinointia kyberturvallisuustiimin ja operatiivisen henkilöstön välillä, jotka ymmärtävät, mitä kukin työasemaluokka todella tekee verkossa. Jokaisen päätepistelajiluokan -- työaseman, todennuspalvelimen, sensorin koontilaitteen, C2-terminaalin -- ennakkohyväksytyn eristämisprofiilin tulisi olla olemassa ennen minkään tapahtuman sattumista, tarkastettuna ja hyväksyttynä sekä turvallisuusupseerin että operatiivisen komentajan toimesta. Kun vahvistettu hälytys laukeaa, analyytikko valitsee sopivan ennakkohyväksytyn eristämisprofiilin SOAR-ohjelmakirjasta sen sijaan, että improvisoi mukautetun eristämiskäytännön aikapaineen alla. Hälytyksen vahvistamisesta eristämiskäytännön soveltamiseen kuluvan ajan tulisi olla alle viisi minuuttia, ja palautusmenettelyn täydelliseen verkkopääsyn palauttamiseksi tulisi olla dokumentoitu ja suoritettavissa kahdessa minuutissa operatiivisen nopean toipumisen tukemiseksi.

Integraatio sotilaallisen SIEM:n ja automaattisen vasteen orkestroinnin kanssa

EDR-telemetria on tehokkain, kun se korreloidaan muiden tietoturvasensorien tietojen kanssa: verkon virtakirjaukset, todennustapahtumalokit, haavoittuvuusskannauksen tulokset ja fyysisen pääsynhallinnan tiedot. Sotilaallinen SIEM on integraatiopiste, johon nämä tietovirrat yhtyvät, ja EDR-SIEM-integraation laatu määrittää, voivatko analyytikot rakentaa täydellisen kuvan useita päätepisteitä ja verkkosegmenttejä kattavasta tapahtumasta. EDR-tapahtumat on välitettävä SIEM:lle muodossa, joka liittyy siististi SIEM:n yhteiseen tapahtumaskeemaan, prosessitunnisteet, isäntätunnisteet ja aikaleimot normalisoituina niin, että EDR:n prosessinsuoritustapahtuma voidaan automaattisesti liittää vastaavaan todennustapahtumaan Windows Security -tapahtumalokeissa ja vastaavaan verkon virtakirjaukseen palomuurista. Ilman tätä normalisointikerrosta korrelaatiokyselyt edellyttävät manuaalista kenttien yhdistämistä, joka tuo viivettä ja analyytikkovirheitä tapahtumakartoitusprosessiin.

Automaattinen vasteen orkestrointi -- SOAR-kerros SIEM:n yläpuolella -- sulkee silmukan havainnosta eristämiseen ilman, että ihmisen on hyväksyttävä jokainen yksittäinen toiminto. Hyvin karakterisoitujen, korkean luottamuksen hälytysten osalta automaattinen vaste lyhentää aikaa havainnosta eristämiseen tunneista (hälytysjonon käsittelyä odottavan analyytikon kanssa) sekunteihin. Vakioautomaation ehdokkaat luokitellussa sotilaallisessa EDR-käyttöönotossa ovat: prosessin lopetus ja karanteeni haittaohjelmasovellushälytyksiä varten luottamuskynnyksen yläpuolella, isäntätason lateraalisen liikehdinnän esto tunnistetietojen varastamishavaitsemista varten sekä tilannevedoksen keräys muistirikosteknistä tarkistusta varten, kun poikkeava muistialue havaitaan. Jokainen automaattinen toiminto on kirjattava laukaiseva hälytysten tunniste, suoritettu toiminto ja agentin vahvistus toimenpiteen soveltamisesta, luoden auditointiketjun, joka tukee sotilaallisen kyberhäiriötilanteiden hallinnan tapahtumainjälkeistä tarkistusta ja virallisia raportointivaatimuksia.

Sotilaallisten verkkojen SIEM- ja SOAR-integraatioarkkitehtuurin on myös otettava huomioon EDR-telemetrian oma luokitustaso. Prosessin luomistapahtumat, jotka kirjaavat kaikkien luokitellun päätepisteen prosessien täydelliset komentoriviargunmentit, voivat itsessään sisältää luokiteltua tietoa: polkuja luokiteltuun dataan, selvitetyn henkilöstön käyttäjänimiä ja luokiteltujen asiakirjanimien osia. Telemetriaputkilinjan on luokiteltava jokainen tapahtumatietue asianmukaisella tasolla ja käsiteltävä se vastaavasti, mikä käytännössä tarkoittaa, että EDR-hallintakonsolin ja SIEM:n on molemmat oltava akkreditoituja korkeimmalla luokitustasolla, jolla on päätepisteistä joita ne valvovat. Yhtenäisen EDR-alustan rakentaminen, joka kattaa useita luokitustasoja, on teknisesti monimutkaista ja lähestytään tyypillisesti erillisten instanssien mallilla, jossa on yksisuuntainen tiedonvienti hyväksytyn ristiverkkoratkaisun kautta.

Akkreditointihaasteet: EDR:n läpäiseminen luokitellun järjestelmän hyväksyntäprosessissa

Toimintavaltuuden (ATO) saaminen EDR-käyttöönotolle luokitellulle sotilastietojärjestelmälle on yksi puolustussektorin aikaa vievimmistä ja teknisesti vaativimmista ohjelmiston akkreditointiharjoituksista. Ydinhaaste on, että EDR on suunnittelunsa mukaisesti etuoikeutettu järjestelmäkomponentti, jolla on ytimen tason pääsy kaikkiin prosesseihin, tiedostoihin ja verkkoihin isäntäkoneella. EDR-agentti, joka sisältäisi julkistamattomia toiminnallisuuksia -- peitetyn kanavan, piilotetun telemetriavirran tai etäsuorituskyvyn -- edustaisi koko luokitellun enklaaven katastrofaalista toimitusketjukompromissia. Akkreditointiviranomainen vaatii siksi ohjelmiston vakuutustasoa, joka menee huomattavasti pidemmälle kuin mitä sovelletaan useimpiin sovelluskerroksen ohjelmistoihin: täydellinen lähdekooditarkistus tai binääri vain -tuotteiden binääristaattinen analyysi yhdistettynä dynaamiseen käyttäytymisen seurantaan, kryptografinen rakennuksen vahvistusprosessi ja määritelty menettely jokaisen päivityksen tarkistamiseksi ennen sen soveltamista luokitelluille päätepisteille.

EDR-järjestelmän käyttäytymiseen perustuvat havaintomallit ja sääntöjoukot luovat toissijaisen akkreditointihuolen, joka on vähemmän ilmeinen mutta yhtä tärkeä. Tunnistussäännöt koodaavat tietoa siitä, mikä muodostaa poikkeavaa käyttäytymistä luokitelluilla päätepisteillä -- mitkä prosessit käyttävät mitä tiedostoja, mitkä verkkoyhteykset ovat odotettavissa, mitä rekisteripolkuja lailliset operaatiot muokkaavat. Jos vihollinen saa kopion tunnistussääntöjoukosta, hän saa täsmällisen spesifikaation siitä, mitä käyttäytymistä EDR merkitsee ja mitä ei, mahdollistaen tunkeutumistoimintojen suunnittelun, joka pysyy kokonaan sääntöjen valkotilassa. Tunnistussäännöt ja käyttäytymismallit on siksi luokiteltava asianmukaisella tasolla ja käsiteltävä arkaluonteisina konfiguraatiotietoina, joilla on tiukat pääsynhallinnat ja muutoksenhallintaprosessi, joka seuraa jokaista muutosta.

Käytännölliset akkreditointiaikataulut EDR:lle luokitelluissa järjestelmissä kestävät tyypillisesti 12-24 kuukautta uusille tuotteille, joita ei ole aiemmin arvioitu. Tuotteet, jotka ovat jo suorittaneet arvioinnin yhdelle luokitellulle ohjelmalle, voivat joskus hyödyntää aiempia arviointiartefakteja nopeuttaakseen myöhempiä akkreditointeja -- prosessia, jota Yhdysvaltain puolustusministeriö formalisoi jatkuvan ATO:n (cATO) kehyksen kautta kyberturvallisuustyökaluille. EDR-tuotteen tai -kehyksen valitseminen, jolla on jo dokumentoitu historia luokitelluista järjestelmäkäyttöönotoista ja olemassa olevasta arviointidokumentaatiosta, lyhentää huomattavasti akkreditointiaikataulua. Ohjelmille, jotka eivät voi odottaa täyttä ATO:ta, EDR:n ajaminen vain valvontatilassa -- telemetrian keräys ja analyysi ilman automaattista vastetta -- väliaikaisen testausvaltuuden (IATT) alla antaa tietoturvaoperaatiotiimille mahdollisuuden alkaa rakentaa havaintokykyä ja käyttäytymiseen perustuvaa perusviivaa täyden ATO:n prosessoinnin aikana.