Při výběru ochrany koncových zařízení narazíte na tři zkratky: EDR, XDR a MDR. Výrobci je používají různě a jejich hranice nejsou pevně dané. Pro rozhodnutí proto nestačí název produktu. Důležité je, co řešení skutečně dělá a kdo s ním bude pracovat.
EDR: detekce a reakce na koncovém zařízení
EDR znamená Endpoint Detection and Response. Agent na počítači nebo serveru sleduje dění v systému, například spouštění procesů, změny souborů, síťová spojení a přihlášení. Z těchto záznamů vyhodnocuje podezřelé chování, ne jen známé vzorky škodlivého kódu.
Typické schopnosti EDR jsou:
- detekce podezřelého chování a jeho souvislostí,
- záznam událostí, ze kterého lze zpětně dohledat průběh incidentu,
- reakce, například izolace zařízení od sítě nebo ukončení procesu,
- u některých řešení také vrácení změn po útoku.
EDR ale potřebuje člověka. Někdo musí výstrahy vyhodnotit, odlišit falešné poplachy a rozhodnout o zásahu. Bez toho zůstane velká část přínosu nevyužitá.
Před nasazením také ověřte kompatibilitu se stávajícím antivirem a kritickými aplikacemi. Souběh dvou ochran na jednom zařízení může způsobit potíže, proto přechod obvykle probíhá postupně.
XDR: širší kontext z více zdrojů
XDR, tedy Extended Detection and Response, rozšiřuje pohled za hranice koncového zařízení. Spojuje data například z e-mailu, identit, cloudu, sítě nebo firewallu. Cílem je vidět souvislosti, které by z jednoho zdroje nebyly patrné. Třeba podezřelé přihlášení, po kterém následuje neobvyklá aktivita na serveru.
Co přesně XDR zahrnuje, se mezi výrobci liší. Některá řešení staví hlavně na vlastních produktech, jiná přijímají data i od třetích stran. Před rozhodnutím si proto ověřte:
- které zdroje dat řešení skutečně podporuje ve vašem prostředí,
- zda jsou integrace součástí licence, nebo se platí zvlášť,
- jak dlouho se data uchovávají a kdo k nim má přístup,
- jak se výstrahy z různých zdrojů spojují do jednoho incidentu.
Širší záběr znamená více dat. Bez jasných odpovědností může XDR přinést spíš víc výstrah než lepší přehled.
MDR: služba, ne produkt
MDR, tedy Managed Detection and Response, není další vrstva technologie. Je to spravovaná služba. Tým analytiků poskytovatele sleduje výstrahy z vašeho prostředí, vyhodnocuje je a podle dohody reaguje nebo vás upozorní. Pokud služba pracuje s daty z více zdrojů, někdy se označuje jako MXDR.
MDR služby nabízejí výrobci i jiné specializované firmy. Vlastní spravované služby mají například SentinelOne i Heimdal. Jejich rozsah, dostupnost a odpovědnosti určují podmínky daného poskytovatele. Nejde o službu APPSEC ani o součást běžné podpory při nasazení.
U MDR se vyplatí pozorně číst smlouvu:
- Co smějí analytici udělat sami a co musí schválit váš tým?
- Jak a komu oznamují incident a v jakém čase?
- Pokrývá služba jen koncová zařízení, nebo i další zdroje?
- Kdo řeší obnovu po incidentu a forenzní analýzu?
- Které úkoly zůstávají na vašem týmu?
I s MDR zůstává část odpovědnosti na vás. Potřebujete kontaktní osobu, rozhodnutí o zásazích do provozu a postup obnovy.
Jak vybírat podle situace vaší firmy
Rozhodující otázka nezní, která zkratka je nejlepší. Zní: kdo bude výstrahy vyhodnocovat a v jakém čase? Odpověď závisí na velikosti a kapacitě vašeho týmu.
Pomůže modelová situace. V sobotu v noci přijde závažná výstraha ze serveru. Kdo ji uvidí, kdo rozhodne o zásahu a jak se to dozví vedení?
- Menší firma bez bezpečnostního specialisty často ocení jednodušší správu a jednu konzoli. Smysl může mít EDR doplněné spravovanou službou, pokud odpovídá rozpočtu a rizikům.
- Střední firma s IT týmem může EDR provozovat sama v pracovní době a zvážit, jak pokryje noci a víkendy.
- Větší organizace s bezpečnostním týmem obvykle řeší integraci více zdrojů, vlastní pravidla detekce a návaznost na stávající nástroje.
APPSEC dodává a podporuje řešení SentinelOne pro enterprise prostředí a Heimdal Security pro menší a střední firmy. Uvádíme je jako příklady, se kterými pracujeme. Stejné otázky platí pro jakéhokoli výrobce.
Žádná z těchto technologií nenahrazuje základy. Aktualizace, vícefaktorové ověřování, zálohy a postup pro řešení incidentů jsou stále potřeba. Rámec NIST Cybersecurity Framework 2.0 připomíná, že detekce a reakce jsou jen dvě ze šesti hlavních funkcí řízení kybernetické bezpečnosti.
Kontrolní seznam pro výběr
- Víte, kolik a jakých zařízení a serverů chcete chránit.
- Je jasné, kdo bude výstrahy vyhodnocovat v pracovní době i mimo ni.
- Znáte zdroje dat, které chcete propojit, a ověřili jste jejich podporu.
- Rozlišujete, co je součástí licence, co je služba výrobce a co podpora dodavatele.
- Máte dohodnuté, kdo schvaluje zásahy, například izolaci serveru.
- Pilot na vybrané skupině zařízení má předem stanovená kritéria úspěchu.
- Víte, jak se řešení propojí s vaším postupem pro incidenty a obnovu.
Pokud zvažujete EDR, XDR nebo spravovanou službu a chcete si ujasnit, co má smysl pro vaše prostředí, rádi to s vámi probereme. Domluvte si konzultaci. Doporučení vždy oddělíme od případné nabídky produktu.
