خطوات الاستخدام
الخطوة الأولى: أدخل إجمالي عدد نقاط النهاية (Endpoints) في الشبكة. يمثل هذا الرقم جميع الأجهزة مثل أجهزة الكمبيوتر والخوادم والهواتف الذكية التي تحتاج إلى حماية. يجب أن يكون هذا الرقم دقيقاً لضمان حساب تغطية واقعي.
الخطوة الثانية: أدخل عدد وكلاء EDR المنشورين فعلياً (Agents Deployed). هذا هو عدد الأجهزة التي تم تثبيت برنامج EDR عليها، ولا يمكن أن يتجاوز إجمالي نقاط النهاية. تذكر أن أي جهاز بدون وكيل يعتبر غير محمي وقد يشكل ثغرة أمنية.
الخطوة الثالثة: اختر عامل مستوى المراقبة النشطة (monitoringLevel) من ثلاث طبقات موثقة: أساسي (Basic) = 0.8 (مراقبة سلبية، تحديثات محدودة)، قياسي (Standard) = 1.0 (مراقبة مستمرة، تحليل أساسي للسلوك)، متقدم (Advanced) = 1.2 (مراقبة شاملة مع استجابة تلقائية وتحليل سلوكي متعمق). هذا العامل يُضرب في النسبة العددية ليعكس جودة المراقبة لا حجمها فقط، وهو ليس عددًا صحيحًا من 1 إلى 5.
الخطوة الرابعة: يتم حساب تغطية الكشف (Detection Coverage) باستخدام الصيغة: (عدد الوكلاء ÷ إجمالي نقاط النهاية) × عامل المراقبة × 100%. إذا تجاوزت النتيجة 100%، يتم تقييدها إلى 100% لأن التغطية القصوى تكون كاملة.
الخطوة الخامسة: راجع النسبة المئوية الناتجة. تشير النسبة الأقل من 100% إلى وجود أجهزة غير محمية. على سبيل المثال، تغطية 70% تعني أن 30% من الأجهزة معرضة للخطر. استخدم هذه المعلومات لاتخاذ قرارات حول نشر وكلاء إضافيين أو تحسين مستوى المراقبة.
أمثلة محلولة
تطبيقات عملية على تغطية كشف نقطة النهاية والاستجابة (EDR) بخطوات الحل كاملة.
الحل
لحساب التغطية: نستخدم الصيغة (400 / 500) × 1.0 × 100% = 80%. هذا يعني أن 80% من الأجهزة تحت المراقبة الفعالة، بينما 20% (أي 100 جهاز) تبقى غير محمية. النسبة 80% جيدة ولكنها ليست مثالية. لتحسين التغطية، يمكن للشركة نشر 100 وكيل إضافي ليصبح العدد 500، مما يحقق تغطية 100% مع نفس مستوى المراقبة. أو يمكن رفع مستوى المراقبة إلى متقدم (1.2) لتحسين فعالية الكشف دون زيادة عدد الوكلاء، فتصبح التغطية (400/500)×1.2×100% = 96% (مقيدة إلى 100% لأنها تجاوزت؟ في الحقيقة 96% أقل من 100%، لكنها تظل أقل من 100%). في هذا المثال، التغطية المحسوبة 80% تعكس حاجة لزيادة النشر أو تحسين المراقبة لتقليل الثغرات.
الحل
الحساب: (1900 / 2000) × 1.2 × 100% = (0.95 × 1.2) × 100% = 1.14 × 100% = 114%. نظراً لأن التغطية لا يمكن أن تتجاوز 100%، يتم تقييد النتيجة إلى 100%. هذا يعني أن المؤسسة تحقق تغطية كاملة لجميع نقاط النهاية بفضل المستوى المتقدم من المراقبة، على الرغم من وجود 100 جهاز بدون وكيل. كيف ذلك؟ لأن عامل المستوى المتقدم (1.2) يعوض النقص في عدد الوكلاء من خلال فعالية أعلى في المراقبة والاستجابة السريعة. لكن من الناحية العملية، تبقى الأجهزة غير المزودة بالوكيل خارج نطاق الحماية المباشرة، لذا يُفضل دائماً تحقيق تغطية 100% في عدد الوكلاء. هذه الحالة تظهر أهمية اختيار مستوى المراقبة المناسب، خاصة عند وجود قيود في النشر.
أمثلة محسوبة
قيم مُدخَلة ونتيجة محسوبة فعليًا بواسطة تغطية كشف نقطة النهاية والاستجابة (EDR).
مرجع — 400 وكيل على 500 جهاز بمراقبة قياسية: 80%
- إجمالي نقاط النهاية
- 500
- عدد العملاء المنتشرين
- 400
- عامل مستوى المراقبة (0.5–2)
- 1
مرجع — 114% خام تُحصر عند 100%
- إجمالي نقاط النهاية
- 2,000
- عدد العملاء المنتشرين
- 1,900
- عامل مستوى المراقبة (0.5–2)
- 1.2
مرجع — نفس النشر بمتابعة متقدمة: 96%
- إجمالي نقاط النهاية
- 500
- عدد العملاء المنتشرين
- 400
- عامل مستوى المراقبة (0.5–2)
- 1.2
مرجع — عامل أساسي 0.8 يخفض التغطية إلى 40%
- إجمالي نقاط النهاية
- 100
- عدد العملاء المنتشرين
- 50
- عامل مستوى المراقبة (0.5–2)
- 0.8
مرجع — لا وكلاء: صفر تغطية
- إجمالي نقاط النهاية
- 100
- عدد العملاء المنتشرين
- 0
- عامل مستوى المراقبة (0.5–2)
- 1