Bir güvenlik analisti, olası kötü niyetli faaliyetleri görünür kılmak için kullanıcıların ve cihazların davranışlarını daha iyi anlamak istiyor. Analistin, eylemlerin ortak bir temelden ne zaman saptığını tespit etmek için bir kontrole ihtiyacı var. Analist aşağıdakilerden hangisini kullanmalıdır?

Uç nokta algılama ve yanıt (EDR) sistemleri, uç noktalardaki (iş istasyonları, sunucular vb.) davranışları sürekli olarak izler ve analiz eder. Bu sayede, normal kullanıcı ve cihaz davranışından sapmaları tespit ederek olası kötü niyetli faaliyetleri belirleyebilir. EDR, anormallikleri saptamak için temel davranış profilleri oluşturur. Saldırı önleme sistemi (IPS) ağ trafiğini izler ve bilinen saldırı imzalarına veya anormal protokollere dayalı olarak saldırıları engeller, ancak uç nokta davranış analizi yapmaz. Sandbox, şüpheli dosyaları izole edilmiş bir ortamda çalıştırarak analiz eder, ancak genel uç nokta davranışını sürekli izlemez. Antivirüs yazılımı ise genellikle bilinen kötü amaçlı yazılımları imzalar veya davranışsal analizlerle tespit edip engeller, ancak EDR'ın sağladığı kapsamlı davranışsal sapma tespiti yeteneğine sahip değildir.