¿El EDR ralentiza mi equipo?

Puede experimentar lentitud en su estación de trabajo. Podría preguntarse si esto está relacionado con el software de Endpoint Detection & Response (EDR) instalado en su equipo.

Razones habituales de la lentitud

Una ralentización puede tener varias causas:

• Una carga alta en el equipo (programas exigentes, recursos de memoria saturados, disco lleno)

• Un problema de conexión de red o con el servidor

• Una actualización o proceso en segundo plano

• Un mal funcionamiento del software

El EDR puede, en algunos casos, usar más recursos durante exploraciones ocasionales, pero generalmente no es la causa principal de una lentitud prolongada.

Calificar la lentitud

Para comprender mejor la situación e identificar la causa, recopile estas cuatro piezas de información:

1. ¿La lentitud es generalizada? ¿Afecta solo a su equipo o a varias máquinas en su organización?

2. Si es solo un equipo, ¿cuál exactamente? Anote el nombre o identificador de la máquina afectada.

3. ¿Cuál es la naturaleza de la lentitud?

   1. ¿Es el equipo lento en sí: aplicaciones que tardan en abrirse, cursor congelado, ralentizaciones del sistema?

   2. ¿O es la conexión a un servidor o servicio en línea la que está lenta?

4. ¿Se han desinstalado por completo todas las demás herramientas de seguridad En particular, el software antivirus y cualquier otro software EDR ya instalado.

Solucionar la lentitud

Para ayudarnos a solucionar el problema, siga estos tres pasos:

1. Asegúrese de que el antivirus esté completamente desinstalado, incluidos todos los servicios relacionados con el antivirus

2. Desinstale y vuelva a instalar el EDR desde el endpoint

3. Investigue ejecutando este comando correspondiente a la plataforma del host y envíenos los resultados a [email protected] :

• Windows (comando de PowerShell)

try {
    # Estaciones de trabajo
    Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct -ErrorAction Stop | Select-Object displayName, productState, @{Name="Services_Associes"; Expression={
        $search = $_.displayName -replace "Windows ", "" -replace "Microsoft ", "" -replace "Sensor", "" -replace "Agent", "" -replace "Antivirus", ""
        $search = $search.Trim()
        
        if ($_.displayName -match "Defender") {
            $svcs = Get-Service -Name "WinDefend", "Sense", "WdNisSvc" -ErrorAction SilentlyContinue
        } else {
            $svcs = Get-Service | Where-Object { $_.DisplayName -match $search -or $_.Name -match $search }
        }
        
        if ($svcs) { ($svcs | Sort-Object Status -Descending | ForEach-Object { "$($_.Name):$($_.Status)" }) -join " | " } else { "Aucun service trouvé" }
    }} | Format-List | Out-String
}
catch {
    # Servidores (alternativa en caso de que el espacio de nombres "root/SecurityCenter2" no exista)    
    $keywords = "WinDefend", "Sense", "Falcon", "Sophos", "Sentinel", "McAfee", "Symantec", "Carbon", "Cylance", "Trend", "Eset", "Kaspersky", "Bitdefender"
        Get-Service | Where-Object { 
        $n = $_.Name; $d = $_.DisplayName; 
        ($keywords | Where-Object { $n -match $_ -or $d -match $_ }) 
    } | Group-Object -Property DisplayName | ForEach-Object {
        [PSCustomObject]@{
            displayName       = $_.Name
            productState      = "N/A (Servidor)"
            Associated_Services = ($_.Group | Sort-Object Status -Descending | ForEach-Object { "$($_.Name):$($_.Status)" }) -join " | "
        }
    } | Format-List
}

• Linux / macOS

ps aux | grep -iE "falcon|mdatp|wdav|defend|sophos|sentinel|mcafee|cma|nails|carbon|cylance|symantec|eset|kav|clam|trend" | grep -v grep | awk '{print "Process: " $11 " | PID: " $2 " | CPU: " $3 "%"}'

Envíelo a Stoïk

Una vez recopilada esta información, envíela a "[email protected]".

Esto nos permitirá analizar la situación más rápidamente y distinguir entre un problema local (equipo), de red (conexión/servidor) o del EDR instalado.