EDR και SIEM: ανιχνεύουν πραγματικά τις τεχνικές επίθεσης;

Το παρακάτω σενάριο είναι ανώνυμο και βασίζεται σε ελεγχόμενη, εξουσιοδοτημένη αξιολόγηση ασφαλείας. Δεν περιλαμβάνει πραγματικά στοιχεία πελάτη, πραγματικές διευθύνσεις, domains, credentials ή ευαίσθητες τεχνικές λεπτομέρειες — μόνο μοτίβα έκθεσης που συναντά συχνά η Audax σε έργα υπό NDA.

Λίγα πράγματα δίνουν ψευδή ασφάλεια όσο μια ακριβή στοίβα ασφαλείας. «Έχουμε EDR στους σταθμούς, SIEM που μαζεύει τα πάντα, 24/7 SOC». Όλα σωστά — και κανένα από αυτά δεν αποδεικνύει ότι μια πραγματική τεχνική επίθεσης θα ανιχνευθεί.

Η απόσταση ανάμεσα στο «το εργαλείο υποστηρίζει ανίχνευση» και στο «το εργαλείο ανίχνευσε, παρήγαγε αξιοποιήσιμο alert και κάποιος έδρασε» είναι τεράστια. Ρυθμίσεις, εξαιρέσεις, ελλιπείς κανόνες, θόρυβος, κενά τηλεμετρίας — όλα μειώνουν την πραγματική κάλυψη, συχνά χωρίς να το ξέρει κανείς.

Η επικύρωση EDR και SIEM απαντά στο μόνο ερώτημα που μετράει: ποιες τεχνικές του MITRE ATT&CK ανιχνεύετε πραγματικά, και ποιες περνούν απαρατήρητες. Η Audax, με purple teaming και το Erevos AI, μετατρέπει αυτή την αβεβαιότητα σε χάρτη κάλυψης.

Το επιχειρησιακό πρόβλημα

Η «κάλυψη ανίχνευσης» συχνά υπερεκτιμάται συστηματικά, για λόγους που δεν φαίνονται μέχρι να δοκιμαστούν:

• Εξαιρέσεις & tuning: κανόνες απενεργοποιημένοι για να μειωθεί ο θόρυβος — μαζί με την ανίχνευση.
• Κενά τηλεμετρίας: ο EDR δεν καλύπτει όλα τα συστήματα· το SIEM δεν λαμβάνει όλα τα logs.
• Έλλειψη συσχέτισης: μεμονωμένα events χωρίς συνολική εικόνα incident.
• Alert fatigue: τα σωστά alerts χάνονται στον θόρυβο.

Επιχειρησιακά, το αποτέλεσμα είναι επικίνδυνο: ο οργανισμός πιστεύει ότι θα δει μια επίθεση, ενώ στην πράξη έχει σημαντικά «τυφλά σημεία». Οικονομικά, πληρώνει για ικανότητα που δεν αξιοποιεί πλήρως. Κανονιστικά, δεν μπορεί να αποδείξει ότι οι ικανότητες ανίχνευσης λειτουργούν.

Το σενάριο που πρέπει να ελεγχθεί

Το σενάριο είναι μια ελεγχόμενη ακολουθία τεχνικών επίθεσης, αντιστοιχισμένων σε MITRE ATT&CK, που εκτελούνται με ασφάλεια έναντι του περιβάλλοντος. Σκοπός δεν είναι «να μπούμε», αλλά να μετρηθεί, τεχνική προς τεχνική, τι ανιχνεύει και τι αγνοεί η άμυνα.

Καλύπτονται αντιπροσωπευτικές τεχνικές σε όλο το φάσμα: execution, persistence, credential access, defense evasion, lateral movement, exfiltration. Όπου είναι δυνατό, οι τεχνικές ευθυγραμμίζονται με πραγματικά TTPs γνωστών αντιπάλων, ώστε η επικύρωση να αντανακλά απειλές σχετικές με τον κλάδο σας.

Τακτική (Tactic)	ATT&CK ID	Τεχνική	Τι σημαίνει στο σενάριο
Execution	T1059	Command and Scripting	Εκτέλεση εντολών — βασική ανίχνευση.
Persistence	T1547	Boot/Logon Autostart	Μηχανισμοί παραμονής.
Credential Access	T1003	OS Credential Dumping	Κλασικό σημείο ανίχνευσης EDR.
Defense Evasion	T1562	Impair Defenses	Απόπειρα αποδυνάμωσης — κρίσιμο alert.
Exfiltration	T1041	Exfiltration Over C2	Εξαγωγή δεδομένων — ανίχνευση SIEM.

Τι επικυρώνει το Erevos AI

Το Erevos AI μετατρέπει την αξιολόγηση ανίχνευσης σε μετρήσιμο χάρτη κάλυψης. Επικυρώνει:

• Detection coverage ανά τεχνική ATT&CK — τι ανιχνεύεται, τι όχι.
• Ποιότητα alert: αξιοποιήσιμο, χαμηλής σοβαρότητας ή ανύπαρκτο.
• Κενά τηλεμετρίας σε EDR/SIEM.
• Ικανότητα συσχέτισης σε ενιαίο incident.
• Προτεραιότητα detection engineering: ποιοι κανόνες λείπουν πρώτοι.

Το παραδοτέο είναι ένα ATT&CK heatmap που δείχνει, με μια ματιά, πού είστε δυνατοί και πού τυφλοί — και τι αξίζει να βελτιωθεί πρώτο.

Δείκτης (Erevos AI)	Τιμή	Σοβαρότητα	Τι σημαίνει για τη διοίκηση
ATT&CK Coverage	63%	Μέτρια	Σημαντικές τεχνικές χωρίς ανίχνευση.
Credential Access Detect	Αδύναμη	Υψηλή	Κρίσιμο τυφλό σημείο.
Alert Quality	Μέτρια	Μέτρια	Πολλά low-severity, λίγα αξιοποιήσιμα.
Telemetry Gaps	3 πηγές	Υψηλή	Logs που δεν φτάνουν στο SIEM.
Remediation Priority	P1	Κρίσιμη	Detection engineering στις κρίσιμες τεχνικές.

Πώς εκτελείται η αξιολόγηση από την Audax

Η Audax εκτελεί την επικύρωση ως δομημένο Purple Teaming & Detection Validation:

1. Scoping & threat alignment: επιλογή τεχνικών με βάση τις απειλές του κλάδου (threat intelligence-led).
2. Controlled execution: ασφαλής εκτέλεση τεχνικών ATT&CK.
3. Detection measurement: καταγραφή τι ανίχνευσαν EDR/SIEM/SOC σε κάθε βήμα.
4. Coverage scoring: χαρτογράφηση μέσω SOC/SIEM/EDR Effectiveness και Erevos AI.
5. Detection engineering: δημιουργία/βελτίωση κανόνων από κοινού με την ομάδα σας.
6. Retest: επιβεβαίωση ότι τα κενά έκλεισαν.

Τι αποδείξεις λαμβάνει ο οργανισμός

Τα παραδοτέα είναι άμεσα αξιοποιήσιμα από SOC και detection engineers — όχι θεωρητικά.

Παραδοτέο	Περιεχόμενο	Παραλήπτης
ATT&CK coverage heatmap	Κάλυψη ανά τεχνική, χρωματικά	SOC / CISO
Detection gap list	Τεχνικές χωρίς ανίχνευση, κατά προτεραιότητα	Detection Eng.
Telemetry gap report	Πηγές logs που λείπουν	IT / SIEM admin
Detection rules	Έτοιμοι/βελτιωμένοι κανόνες	SOC
Executive summary	Πραγματική ετοιμότητα ανίχνευσης	Board / CISO
Retest results	Επιβεβαίωση βελτίωσης κάλυψης	CISO

Γιατί έχει αξία για NIS2, DORA ή executive cyber risk

Η NIS2 απαιτεί ικανότητες ανίχνευσης και χειρισμού περιστατικών· η DORA ζητά τακτικό testing ανθεκτικότητας. Ένα ATT&CK coverage report είναι η πιο άμεση, τεκμηριωμένη απόδειξη ότι αυτές οι ικανότητες υπάρχουν στην πράξη — και δείχνει, μετρήσιμα, πού βελτιώνονται.

Σε επίπεδο executive cyber risk, η μετάβαση είναι από «επενδύσαμε σε εργαλεία» σε «αποδεικνύουμε ότι τα εργαλεία ανιχνεύουν X% των κρίσιμων τεχνικών, με στόχο Y%». Είναι μια μετρική που το board κατανοεί και μπορεί να χρηματοδοτήσει στοχευμένα.

Ενδεικτικά ανώνυμα αποτελέσματα

Σε ένα ανώνυμο σενάριο αξιολόγησης, ένας οργανισμός με ώριμη στοίβα ασφαλείας μπορεί να ανακαλύψει ότι, ενώ ανίχνευε καλά την «εκτέλεση εντολών», είχε σοβαρό τυφλό σημείο στο credential access — δηλαδή ένας επιτιθέμενος που υπέκλεπτε διαπιστευτήρια θα περνούσε απαρατήρητος. Παράλληλα, μπορεί να φανεί ότι τρεις πηγές logs δεν έφταναν καν στο SIEM.

Μετά από στοχευμένο detection engineering και διόρθωση της τηλεμετρίας, ο επανέλεγχος μπορεί να δείξει την κάλυψη ATT&CK να ανεβαίνει αισθητά — με τα νέα alerts να είναι αξιοποιήσιμα και συσχετισμένα, όχι απλώς «περισσότερα».

Πότε πρέπει να εφαρμοστεί αυτό το use case

Πότε αποδίδει περισσότερο:

• Μετά από deployment ή αλλαγή EDR/SIEM/SOC (in-house ή MDR).
• Όταν υπάρχει αμφιβολία για την πραγματική κάλυψη ανίχνευσης.
• Μετά από περιστατικό που «δεν προειδοποίησε» το SOC.
• Πριν από NIS2/DORA review ή ασφαλιστικό έλεγχο.
• Ανά τρίμηνο, ως συνεχής έλεγχος αποτελεσματικότητας ανίχνευσης.

Συμπέρασμα

Η κατοχή EDR και SIEM είναι προϋπόθεση — όχι απόδειξη. Η μόνη αξιόπιστη απάντηση στο «θα μας δουν;» προκύπτει όταν δοκιμάσετε, με πραγματικές τεχνικές, τι ανιχνεύεται και τι όχι. Η Audax Cybersecurity, με purple teaming και Erevos AI, σας δίνει αυτόν τον χάρτη κάλυψης — και το roadmap για να τον βελτιώσετε εκεί που μετράει.

Συχνές ερωτήσεις

Θα προκαλέσει η δοκιμή προβλήματα στα συστήματα παραγωγής;

Όχι. Οι τεχνικές εκτελούνται ελεγχόμενα και με ασφάλεια, με κανόνες εμπλοκής. Στόχος είναι η μέτρηση ανίχνευσης, όχι η πρόκληση ζημιάς.

Σε τι διαφέρει από ένα Breach & Attack Simulation εργαλείο;

Συνδυάζουμε αυτοματοποιημένη επικύρωση με ανθρώπινη κρίση και threat intelligence, ευθυγραμμίζοντας τις τεχνικές με πραγματικούς αντιπάλους του κλάδου σας και κάνοντας detection engineering μαζί με την ομάδα σας.

Δουλεύει με MDR/εξωτερικό SOC;

Ναι. Η επικύρωση είναι ιδιαίτερα χρήσιμη όταν την ανίχνευση τη χειρίζεται τρίτος — αποδεικνύει αν η υπηρεσία αποδίδει όπως υπόσχεται.

Τι μένει στον οργανισμό μετά;

Ένα ATT&CK coverage heatmap, λίστα κενών κατά προτεραιότητα, βελτιωμένοι κανόνες ανίχνευσης και αποτελέσματα retest — υλικό άμεσα αξιοποιήσιμο.