AV/EDR si riferisce a strumenti antivirus e di endpoint detection and response. AV si concentra su modelli di malware noti e file sospetti, mentre EDR monitora il comportamento degli endpoint alla ricerca di segnali di compromissione, come l'iniezione di processi, il furto di credenziali, il movimento laterale o la preparazione del ransomware. Insieme, aiutano a fermare le attività malevole prima che si diffondano in tutta la rete.
Nei casi di ransomware, AV/EDR è spesso un obiettivo iniziale perché disabilitare la protezione degli endpoint rimuove una delle principali barriere alla cifratura. Gli attaccanti possono tentare di manomettere i servizi, terminare i processi di sicurezza, aggiungere esclusioni o bloccare gli avvisi per poter distribuire rapidamente i payload su molti host. I difensori si affidano ad AV/EDR non solo per il blocco, ma anche per il rilevamento, l'isolamento e la visibilità forense. Configurazioni solide, protezione contro le manomissioni e avvisi sui tentativi di disabilitazione sono fondamentali perché una breve falla nella difesa degli endpoint può consentire a un intruso di passare dall'accesso iniziale alla distribuzione completa del ransomware.