Co to jest XDR? (Extended Detection and Response)

Jeśli chodzi o wykrywanie zagrożeń i reagowanie na nie, na centrach bezpieczeństwa spoczywa ogromna odpowiedzialność. Muszą szybko identyfikować krytyczne zagrożenia, aby ograniczyć ryzyko i szkody wyrządzone organizacji. 

Nie ma co się dziwić, że zespoły IT są przeciążone pracą, jeśli weźmie się pod uwagę, ile alarmów generują różne rozwiązania. W firmie zatrudniającej średnio 1 000 osób na wejściu do systemu SIEM co sekundę w szczytowych momentach może mieć miejsce nawet 22 000 zdarzeń. To daje prawie dwa miliony zdarzeń dziennie^[1]. Możliwości w zakresie korelacji i segregacji wg stopnia ważności tych alarmów są ograniczone, przez co bardzo trudno jest szybko i skutecznie odsiać nieistotne dane od ważnych zdarzeń. XDR automatycznie łączy serie niepewnych aktywności w jedno bardziej istotne zdarzenie, dzięki czemu zgłasza mniej, ale za to bardziej istotnych, alarmów.

Wiele produktów zabezpieczających umożliwia wgląd w dane dotyczące aktywności. Każde rozwiązanie oferuje określoną perspektywę oraz zbiera i dostarcza dane odnoszące się do pewnej funkcji. Integracja rozwiązań bezpieczeństwa może umożliwić wymianę i konsolidację danych, ale ich wartość często jest ograniczona ze względu na typ i szczegółowość gromadzonych danych, jak również możliwości analizy korelacyjnej. To oznacza, że powstają luki informacyjne, które ograniczają możliwości działania analityka. Natomiast rozwiązanie XDR zbiera i udostępnia pełne dane na temat aktywności (dotyczące wykryć, telemetryczne, metadane i dotyczące przepływu sieciowego) w poszczególnych narzędziach bezpieczeństwa. Dzięki wykorzystaniu zaawansowanych algorytmów analizy i badania zagrożeń XDR dostarcza pełny kontekst ataku, pozwalając dokładnie prześledzić jego przebieg w kolejnych warstwach zabezpieczeń.

Przy dużej ilości danych z dzienników i alarmów bez wyraźnych wskaźników trudno jest określić, na co należy zwracać uwagę. Jeśli uda się znaleźć problem lub zagrożenie, trudno jest prześledzić jego ścieżkę i wpływ na organizację. Śledztwo może być czasochłonnym, ręcznym zajęciem, na które może brakować środków. XDR pozwala na automatyzację analiz zagrożeń przez wyeliminowanie ręcznej pracy oraz dostarcza bogaty zestaw danych i narzędzi, które w innym przypadku byłyby niemożliwe do uzyskania. Weźmy na przykład automatyczną analizę przyczyn. Dzięki niej analityk uzyskuje dokładne informacje na temat przebiegu ataku w czasie, który może obejmować pocztę e-mail, punkty końcowe, serwery, obciążenia chmury i sieci. To pozwala na szczegółowe zbadanie każdego kroku tego ataku, aby podjąć odpowiednie działania.

Opisane trudności sprawiają, że zagrożenia zbyt długo pozostają niewykryte, co opóźnia reakcję oraz zwiększa ryzyko i potencjalne szkody ataku. XDR pozwala skuteczniej wykrywać zagrożenia i szybciej reagować, gdy się pojawią. Dlatego podstawowymi wskaźnikami jakości zabezpieczeń wykorzystywanymi przez organizacje zajmujące się zabezpieczeniami są średni czas wykrycia (mean time to detect – MTTD) i średni czas reakcji (mean time to respond – MTTR). Na ich podstawie oraz tego, w jakim stopniu zmniejszają narażenie przedsiębiorstwa na ryzyko, ocenia się wartość rozwiązań i inwestycji.