Vertraagt EDR mijn computer?

U kunt vertragingen op uw werkstation ervaren. U vraagt zich misschien af of dit gerelateerd is aan de Endpoint Detection & Response (EDR)-software die op uw machine is geïnstalleerd.

Gebruikelijke oorzaken van vertraging

Een vertraging kan meerdere oorzaken hebben:

• Een hoge belasting van de computer (veeleisende programma's, verzadigde geheugenbronnen, volle schijf)

• Een netwerk- of serververbinding probleem

• Een achtergrondupdate of -proces

• Een softwarestoring

EDR kan in sommige gevallen meer middelen gebruiken tijdens occasionele scans, maar het is over het algemeen niet de primaire oorzaak van een langdurige vertraging.

Kwalificeer de vertraging

Om de situatie beter te begrijpen en de oorzaak te identificeren, verzamel deze vier informatiepunten:

1. Is de vertraging wijdverbreid? Treft het alleen uw computer of meerdere machines in uw organisatie?

2. Als het slechts één computer is, welke exact? Noteer de naam of identifier van de getroffen machine.

3. Wat is de aard van de vertraging?

   1. Is de computer zelf traag: applicaties die moeilijk te openen zijn, bevroren cursor, systeemvertragingen?

   2. Of is de verbinding met een server of online dienst traag?

4. Zijn alle andere beveiligingstools volledig verwijderd? In het bijzonder antivirussoftware en eventuele andere EDR-software die al geïnstalleerd was.

Problemen oplossen van de vertraging

Om ons te helpen bij het oplossen, volgt u deze drie stappen:

1. Zorg ervoor dat antivirus volledig verwijderd is, inclusief alle antivirusgerelateerde services

2. Deïnstalleer en installeer de EDR opnieuw op het eindpunt

3. Onderzoek door dit commando uit te voeren dat overeenkomt met het hostplatform en stuur ons de resultaten door naar [email protected] :

• Windows (PowerShell-opdracht)

try {
    # Werkstations
    Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct -ErrorAction Stop | Select-Object displayName, productState, @{Name="Services_Associes"; Expression={
        $search = $_.displayName -replace "Windows ", "" -replace "Microsoft ", "" -replace "Sensor", "" -replace "Agent", "" -replace "Antivirus", ""
        $search = $search.Trim()
        
        if ($_.displayName -match "Defender") {
            $svcs = Get-Service -Name "WinDefend", "Sense", "WdNisSvc" -ErrorAction SilentlyContinue
        } else {
            $svcs = Get-Service | Where-Object { $_.DisplayName -match $search -or $_.Name -match $search }
        }
        
        if ($svcs) { ($svcs | Sort-Object Status -Descending | ForEach-Object { "$($_.Name):$($_.Status)" }) -join " | " } else { "Aucun service trouvé" }
    }} | Format-List | Out-String
}
catch {
    # Servers (Fallback in case where namespace "root/SecurityCenter2"" doesn't exist)    
    $keywords = "WinDefend", "Sense", "Falcon", "Sophos", "Sentinel", "McAfee", "Symantec", "Carbon", "Cylance", "Trend", "Eset", "Kaspersky", "Bitdefender"
        Get-Service | Where-Object { 
        $n = $_.Name; $d = $_.DisplayName; 
        ($keywords | Where-Object { $n -match $_ -or $d -match $_ }) 
    } | Group-Object -Property DisplayName | ForEach-Object {
        [PSCustomObject]@{
            displayName       = $_.Name
            productState      = "N/A (Serveur)"
            Associated_Services = ($_.Group | Sort-Object Status -Descending | ForEach-Object { "$($_.Name):$($_.Status)" }) -join " | "
        }
    } | Format-List
}

• Linux / macOS

ps aux | grep -iE "falcon|mdatp|wdav|defend|sophos|sentinel|mcafee|cma|nails|carbon|cylance|symantec|eset|kav|clam|trend" | grep -v grep | awk '{print "Process: " $11 " | PID: " $2 " | CPU: " $3 "%"}'

Stuur het naar Stoïk

Zodra deze informatie is verzameld, stuur deze naar "[email protected]".

Dit stelt ons in staat de situatie sneller te analyseren en onderscheid te maken tussen een lokaal (computer), netwerk (verbinding/server) of geïnstalleerd EDR-probleem.