Estate Monitoring
Přehled zařízení, skóre rizika, forenzní detail a pohledy pro vyšetřování.
Kde modul pomáhá během útoku
XDR propojuje signály ze všech fází a nejvíc pomáhá při vyšetřování a reakci. Úroveň závisí na zapnutých modulech. Jde o orientační pohled, ne o měření.
| Oblast | Úroveň |
|---|---|
| Průzkum | kontext |
| Počáteční přístup | doplňková ochrana |
| Spuštění a persistence | doplňková ochrana |
| Eskalace a šíření | hlavní role |
| Dopad | doplňková ochrana |
| Vyšetřování a obnova | hlavní role |
Signály z modulů v souvislostech
Každý modul Heimdal zachytí jinou část útoku: DNS podezřelou doménu, antivirus soubor, e-mailová ochrana podvodnou zprávu. Threat-hunting & Action Center (TAC) tyto události shromáždí, doplní kontext a seřadí zařízení a uživatele podle rizika.
TAC pracuje s enginem XTP a technikami MITRE ATT&CK. Výrobce ho popisuje jako integrované řešení SIEM a XDR pro síť, koncová zařízení, cloud, e-maily a uživatele v Microsoft 365.
User Monitoring
Chování uživatelů v Microsoft 365, neobvyklá přihlášení a vazba na e-mailové a ransomware detekce.
Action Center
Reakce jedním kliknutím: skenování, karanténa, izolace zařízení nebo odhlášení uživatele.
Od výstrahy k zásahu na jednom místě
Správce otevře přehled a vidí nejrizikovější zařízení a uživatele. U každého najde události, detail útoku a související techniky. Z téhož místa spustí reakci: izoluje počítač, přesune soubor do karantény, nainstaluje opravu nebo odhlásí kompromitovaného uživatele.
Kolik toho TAC uvidí, závisí na zapnutých modulech a integracích. Výrobce uvádí například napojení externích firewallů Cisco Meraki a Palo Alto.
- Balíček XDR podle výrobce zahrnuje EDR, portál pro threat hunting, e-mailovou ochranu, PEDM, PASM a Application Control.
- Události z e-mailu a Microsoft 365 jsou v TAC dostupné podle zvolené e-mailové varianty.
- Zahrnuté moduly, licence a integrace upřesní konkrétní nabídka.
Kdo bude výstrahy vyhodnocovat
XDR je nástroj. Někdo ho musí sledovat, vyhodnocovat výstrahy a rozhodovat o zásahu. V menší firmě to bývá stejný člověk, který spravuje celé IT.
Heimdal proto nabízí MXDR: spravovanou službu, ve které jeho SOC sleduje události, vyšetřuje je a podle nastavených oprávnění zasahuje. Výrobce ji popisuje jako nepřetržitou službu 24×7. Jde o službu Heimdalu, ne o SOC nebo podporu APPSEC.
V nastavení MXDR ADAPT určíte pro každý modul, zda smí analytici výrobce zasáhnout sami, nebo vás jen upozorní.
Vlastní tým s XDR
Výstrahy vyhodnocuje a řeší váš tým podle domluveného postupu.
MXDR výrobce
Dohled a reakci zajišťuje SOC Heimdalu v rozsahu služby a oprávnění, která nastavíte.
Podpora APPSEC
Nasazení, nastavení a podpora podle nabídky. Nejde o nepřetržitý dohled.
Nasazení s APPSEC
Heimdal odpovídá za platformu a případně za službu MXDR podle svých podmínek. APPSEC za návrh, nasazení a podporu podle nabídky. Vy rozhodujete o zásazích, pokud je výslovně nepředáte MXDR.
Moduly a zdroje
Ověříme, které moduly a integrace budou do TAC posílat data.
Postup reakce
Domluvíme, kdo výstrahy sleduje, kdo smí izolovat zařízení a kdy se eskaluje.
Zaškolení
Projdeme s týmem přehledy, vyšetřování a Action Center na datech z pilotu.
Rozhodnutí o MXDR
Pomůžeme posoudit, zda vám stačí vlastní tým, nebo dává smysl služba výrobce.
Na co myslet
- Přínos XDR roste s počtem propojených modulů. Jeden modul sám o sobě mnoho souvislostí neukáže.
- Automatické reakce, například izolaci zařízení, je potřeba sladit s provozem a odpovědnostmi.
- V tabulce kompatibility výrobce je TAC uveden pro Windows. Podporu dalších systémů ověříme podle aktuálního stavu.
- U MXDR si v nabídce ověřte jazyk komunikace, kontakty pro kritické situace a rozsah oprávnění.
