Estate Monitoring
Prehľad zariadení, skóre rizika, forenzný detail a pohľady na vyšetrovanie.
Kde modul pomáha počas útoku
XDR prepája signály zo všetkých fáz a najviac pomáha pri vyšetrovaní a reakcii. Úroveň závisí od zapnutých modulov. Ide o orientačný pohľad, nie o meranie.
| Oblasť | Úroveň |
|---|---|
| Prieskum | kontext |
| Počiatočný prístup | doplnková ochrana |
| Spustenie a perzistencia | doplnková ochrana |
| Eskalácia a šírenie | hlavná úloha |
| Dopad | doplnková ochrana |
| Vyšetrovanie a obnova | hlavná úloha |
Signály z modulov v súvislostiach
Každý modul Heimdal zachytí inú časť útoku: DNS podozrivú doménu, antivírus súbor, e-mailová ochrana podvodnú správu. Threat-hunting & Action Center (TAC) tieto udalosti zhromaždí, doplní kontext a zoradí zariadenia a používateľov podľa rizika.
TAC pracuje s enginom XTP a technikami MITRE ATT&CK. Výrobca ho opisuje ako integrované riešenie SIEM a XDR pre sieť, koncové zariadenia, cloud, e-maily a používateľov v Microsoft 365.
User Monitoring
Správanie používateľov v Microsoft 365, nezvyčajné prihlásenia a väzba na e-mailové a ransomvérové detekcie.
Action Center
Reakcia jedným kliknutím: skenovanie, karanténa, izolácia zariadenia alebo odhlásenie používateľa.
Od výstrahy k zásahu na jednom mieste
Správca otvorí prehľad a vidí najrizikovejšie zariadenia a používateľov. Pri každom nájde udalosti, detail útoku a súvisiace techniky. Z toho istého miesta spustí reakciu: izoluje počítač, presunie súbor do karantény, nainštaluje opravu alebo odhlási kompromitovaného používateľa.
Koľko toho TAC uvidí, závisí od zapnutých modulov a integrácií. Výrobca uvádza napríklad napojenie externých firewallov Cisco Meraki a Palo Alto.
- Balík XDR podľa výrobcu zahŕňa EDR, portál na threat hunting, e-mailovú ochranu, PEDM, PASM a Application Control.
- Udalosti z e-mailu a Microsoft 365 sú v TAC dostupné podľa zvoleného e-mailového variantu.
- Zahrnuté moduly, licencie a integrácie spresní konkrétna ponuka.
Kto bude výstrahy vyhodnocovať
XDR je nástroj. Niekto ho musí sledovať, vyhodnocovať výstrahy a rozhodovať o zásahu. V menšej firme to býva ten istý človek, ktorý spravuje celé IT.
Heimdal preto ponúka MXDR: spravovanú službu, v ktorej jeho SOC sleduje udalosti, vyšetruje ich a podľa nastavených oprávnení zasahuje. Výrobca ju opisuje ako nepretržitú službu 24×7. Ide o službu Heimdalu, nie o SOC alebo podporu APPSEC.
V nastavení MXDR ADAPT určíte pre každý modul, či smú analytici výrobcu zasiahnuť sami, alebo vás len upozornia.
Vlastný tím s XDR
Výstrahy vyhodnocuje a rieši váš tím podľa dohodnutého postupu.
MXDR výrobcu
Dohľad a reakciu zabezpečuje SOC Heimdalu v rozsahu služby a oprávnení, ktoré nastavíte.
Podpora APPSEC
Nasadenie, nastavenie a podpora podľa ponuky. Nejde o nepretržitý dohľad.
Nasadenie s APPSEC
Heimdal zodpovedá za platformu a prípadne za službu MXDR podľa svojich podmienok. APPSEC za návrh, nasadenie a podporu podľa ponuky. Vy rozhodujete o zásahoch, ak ich výslovne neodovzdáte MXDR.
Moduly a zdroje
Overíme, ktoré moduly a integrácie budú do TAC posielať dáta.
Postup reakcie
Dohodneme, kto výstrahy sleduje, kto smie izolovať zariadenia a kedy sa eskaluje.
Zaškolenie
Prejdeme s tímom prehľady, vyšetrovanie a Action Center na dátach z pilotu.
Rozhodnutie o MXDR
Pomôžeme posúdiť, či vám stačí vlastný tím, alebo dáva zmysel služba výrobcu.
Na čo myslieť
- Prínos XDR rastie s počtom prepojených modulov. Jeden modul sám osebe veľa súvislostí neukáže.
- Automatické reakcie, napríklad izoláciu zariadenia, treba zladiť s prevádzkou a zodpovednosťami.
- V tabuľke kompatibility výrobcu je TAC uvedený pre Windows. Podporu ďalších systémov overíme podľa aktuálneho stavu.
- Pri MXDR si v ponuke overte jazyk komunikácie, kontakty pre kritické situácie a rozsah oprávnení.
