Pri výbere ochrany koncových zariadení narazíte na tri skratky: EDR, XDR a MDR. Výrobcovia ich používajú rôzne a ich hranice nie sú pevne dané. Na rozhodnutie preto nestačí názov produktu. Dôležité je, čo riešenie skutočne robí a kto s ním bude pracovať.
EDR: detekcia a reakcia na koncovom zariadení
EDR znamená Endpoint Detection and Response. Agent na počítači alebo serveri sleduje dianie v systéme, napríklad spúšťanie procesov, zmeny súborov, sieťové spojenia a prihlásenia. Z týchto záznamov vyhodnocuje podozrivé správanie, nie iba známe vzorky škodlivého kódu.
Typické schopnosti EDR sú:
- detekcia podozrivého správania a jeho súvislostí,
- záznam udalostí, z ktorého sa dá spätne dohľadať priebeh incidentu,
- reakcia, napríklad izolácia zariadenia od siete alebo ukončenie procesu,
- pri niektorých riešeniach aj vrátenie zmien po útoku.
EDR však potrebuje človeka. Niekto musí výstrahy vyhodnotiť, odlíšiť falošné poplachy a rozhodnúť o zásahu. Bez toho zostane veľká časť prínosu nevyužitá.
Pred nasadením tiež overte kompatibilitu s existujúcim antivírusom a kritickými aplikáciami. Súbeh dvoch ochrán na jednom zariadení môže spôsobiť problémy, preto prechod zvyčajne prebieha postupne.
XDR: širší kontext z viacerých zdrojov
XDR, teda Extended Detection and Response, rozširuje pohľad za hranice koncového zariadenia. Spája údaje napríklad z e-mailu, identít, cloudu, siete alebo firewallu. Cieľom je vidieť súvislosti, ktoré by z jedného zdroja neboli zrejmé. Napríklad podozrivé prihlásenie, po ktorom nasleduje neobvyklá aktivita na serveri.
Čo presne XDR zahŕňa, sa medzi výrobcami líši. Niektoré riešenia stavajú najmä na vlastných produktoch, iné prijímajú údaje aj od tretích strán. Pred rozhodnutím si preto overte:
- ktoré zdroje údajov riešenie skutočne podporuje vo vašom prostredí,
- či sú integrácie súčasťou licencie, alebo sa platia zvlášť,
- ako dlho sa údaje uchovávajú a kto k nim má prístup,
- ako sa výstrahy z rôznych zdrojov spájajú do jedného incidentu.
Širší záber znamená viac údajov. Bez jasných zodpovedností môže XDR priniesť skôr viac výstrah než lepší prehľad.
MDR: služba, nie produkt
MDR, teda Managed Detection and Response, nie je ďalšia vrstva technológie. Je to spravovaná služba. Tím analytikov poskytovateľa sleduje výstrahy z vášho prostredia, vyhodnocuje ich a podľa dohody reaguje alebo vás upozorní. Ak služba pracuje s údajmi z viacerých zdrojov, niekedy sa označuje ako MXDR.
Služby MDR ponúkajú výrobcovia aj iné špecializované firmy. Vlastné spravované služby majú napríklad SentinelOne aj Heimdal. Ich rozsah, dostupnosť a zodpovednosti určujú podmienky daného poskytovateľa. Nejde o službu APPSEC ani o súčasť bežnej podpory pri nasadení.
Pri MDR sa oplatí pozorne čítať zmluvu:
- Čo smú analytici urobiť sami a čo musí schváliť váš tím?
- Ako a komu oznamujú incident a v akom čase?
- Pokrýva služba iba koncové zariadenia, alebo aj ďalšie zdroje?
- Kto rieši obnovu po incidente a forenznú analýzu?
- Ktoré úlohy zostávajú na vašom tíme?
Aj s MDR zostáva časť zodpovednosti na vás. Potrebujete kontaktnú osobu, rozhodnutia o zásahoch do prevádzky a postup obnovy.
Ako vyberať podľa situácie vašej firmy
Rozhodujúca otázka neznie, ktorá skratka je najlepšia. Znie: kto bude výstrahy vyhodnocovať a v akom čase? Odpoveď závisí od veľkosti a kapacity vášho tímu.
Pomôže modelová situácia. V sobotu v noci príde závažná výstraha zo servera. Kto ju uvidí, kto rozhodne o zásahu a ako sa to dozvie vedenie?
- Menšia firma bez bezpečnostného špecialistu často ocení jednoduchšiu správu a jednu konzolu. Zmysel môže mať EDR doplnené spravovanou službou, ak zodpovedá rozpočtu a rizikám.
- Stredná firma s IT tímom môže EDR prevádzkovať sama v pracovnom čase a zvážiť, ako pokryje noci a víkendy.
- Väčšia organizácia s bezpečnostným tímom zvyčajne rieši integráciu viacerých zdrojov, vlastné pravidlá detekcie a nadväznosť na existujúce nástroje.
APPSEC dodáva a podporuje riešenia SentinelOne pre enterprise prostredie a Heimdal Security pre menšie a stredné firmy. Uvádzame ich ako príklady, s ktorými pracujeme. Rovnaké otázky platia pre akéhokoľvek výrobcu.
Žiadna z týchto technológií nenahrádza základy. Aktualizácie, viacfaktorové overovanie, zálohy a postup na riešenie incidentov sú stále potrebné. Rámec NIST Cybersecurity Framework 2.0 pripomína, že detekcia a reakcia sú len dve zo šiestich hlavných funkcií riadenia kybernetickej bezpečnosti.
Kontrolný zoznam pre výber
- Viete, koľko a akých zariadení a serverov chcete chrániť.
- Je jasné, kto bude výstrahy vyhodnocovať v pracovnom čase aj mimo neho.
- Poznáte zdroje údajov, ktoré chcete prepojiť, a overili ste ich podporu.
- Rozlišujete, čo je súčasťou licencie, čo je služba výrobcu a čo podpora dodávateľa.
- Máte dohodnuté, kto schvaľuje zásahy, napríklad izoláciu servera.
- Pilot na vybranej skupine zariadení má vopred stanovené kritériá úspechu.
- Viete, ako sa riešenie prepojí s vaším postupom pre incidenty a obnovu.
Ak zvažujete EDR, XDR alebo spravovanú službu a chcete si ujasniť, čo má zmysel pre vaše prostredie, radi to s vami prejdeme. Dohodnite si konzultáciu. Odporúčanie vždy oddelíme od prípadnej ponuky produktu.
