10 функций XDR, реализованных в решениях Cisco

10 функций XDR, реализованных в решениях CiscoOver the past 10 years, our mission at Cisco Secure has been to develop, acquire and integrate a security portfolio that simplifies operations,...Contents

Цель этой электронной книги

В течение последних 10 лет специалисты Cisco Secure занимались разработкой, приобретением и интеграцией решений безопасности, помогающих упростить рабочие процессы, повысить продуктивность специалистов и обеспечить надежное будущее для организаций. Другие поставщики также признали значимость этих усилий и предложили собственные решения. Результатом стало появление платформ, объединяющих инструменты обнаружения и устранения угроз, на которые возлагаются огромные надежды. Аналитики Gartner недавно определили рыночную категорию таких систем — Extended Detection and Response (расширенная система обнаружения и устранения угроз, или XDR). Как это часто бывает с новыми концепциями, поставщики быстро взяли этот термин на вооружение для описания функций своих продуктов.

И вот здесь начинаются сложности. Некоторые поставщики используют эту концепцию как маркетинговый ход для продвижения имеющихся решений, другие просто добавляют XDR в название продуктов. Учитывая такое многообразие, покупателю трудно понять, что же в действительности означает этот термин.

«Компания Cisco располагает обширным портфелем решений. Мы реализуем комплексную стратегию защиты наших заказчиков... интеграция — это важнейший элемент нашей стратегии. Именно она обеспечивает полную автоматизацию и мониторинг всех основных векторов угроз, повышает эффективность и сокращает время реагирования на события безопасности».

Джи Риттенхаус (Gee Rittenhouse),
старший вице-президент Cisco Security Group,
2019

Отбросим ненужную информацию и внесем ясность в определение XDR.

Читайте дальше, чтобы:

• получить представление о задачах, решаемых путем внедрения XDR;
• узнать, как аналитики Gartner определяют эту категорию;
• узнать, как возможности XDR реализуются в решениях Cisco;
• определиться со стратегией внедрения XDR.

Содержание

Задачи, решаемые XDR-системами
Определение Gartner
Точка зрения Cisco
10 функций XDR для повышения безопасности
Дальнейшие шаги

Цели по обеспечению безопасности могут казаться недостижимыми, но вы в этом не виноваты

Как правило, надежное обнаружение и реагирование ― это критически важная цель, которая зачастую иллюзорна. Сколько бы денег вы ни вкладывали, всегда будет нужен «еще один уровень» защиты. Угрозы продолжают усложняться, периметр ― расширяться, рабочая среда ― меняться, а требования к устойчивости бизнеса ― ужесточаться. По мере расширения поверхности атак выявлять их становится все труднее: растет время обнаружения и риск для бизнеса.

Задачи современных систем безопасности

Интеграция данных системы безопасности и инструментов
Стандартизация процессов и исключение трудозатратных задач
Обеспечение совместной работы разных команд
Сокращение времени обнаружения
Ускорение процессов за счет автоматизации на основе наборов сценариев
Регулярное использование проактивных мер
Согласованное обеспечение соответствия

Почему не удается перейти на новую парадигму, несмотря на многообразие доступных инструментов обеспечения безопасности? Все дело в том, что ваши решения безопасности, скорее всего, разрабатывались и создавались в изоляции, и они не поддерживают эффективную взаимную интеграцию. При том что эффективность защиты от современных угроз во многом определяется наличием достаточно полной картины по всем контрольным точкам, наличие разрозненных, неинтегрированных точечных решений не может спасти ситуацию.

Конечно, есть услуги, позволяющие объединить несколько разных решений, но они, как правило, недешевы. Разрозненность технологий мешает внедрению оптимальных процессов безопасности и приводит к тому, что решения принимаются изолированно, на основе лишь малой части информации о среде.

Что не так с изолированными решениями?

Данные, регистрируемые инструментами безопасности, анализируются изолированно, и это снижает точность выявления скрытых атак.
Приоритет оповещений определяется изолированно ― в поле зрения специалистов по безопасности попадает лишь малая часть вредоносных намерений.
Специалисты по безопасности решают проблемы изолированно, как правило, уровень за уровнем, без достаточного контекста и координации.

Теоретически, добавление нового инструмента SIEM (управление информацией и событиями безопасности) или SOAR (оркестрация безопасности, автоматизация и реагирование) в систему безопасности может обеспечить определенные преимущества, включая аналитику и автоматизацию. Однако на практике у большинства ИТ-отделов не хватает времени, знаний и специалистов для выполнения калибровки, которая позволила бы интегрировать функции обнаружения и реагирования во все эти инструменты. И даже если это им удается, добавление нового уровня в системы безопасности может снова потребовать непредсказуемых объемов повторной калибровки. Хотя интеграция на основе SIEM и SOAR может обеспечить определенные преимущества, с ее помощью нельзя преодолеть глубинную несовместимость решений безопасности, а значит и ускорить выявление и устранение угроз.

Специалисты не справляются с потоком оповещений и требований ко времени выявления и устранения, не говоря уже о решении таких действительно важных задач, как внедрение автоматизации и настройка важных политик. Знакомая картина?

Возможности XDR

XDR-системы призваны решить проблемы, вызванные слишком большим числом поставщиков, недостаточной интеграцией и координацией и нехваткой времени.

Gartner определяет расширенную систему обнаружения и устранения угроз (XDR) как унифицированную платформу, которая автоматически собирает и коррелирует данные от нескольких отдельных компонентов системы безопасности. То есть решения XDR работают на нескольких уровнях различных систем обнаружения и устранения угроз, упорядочивают разные наборы данных, проводят высокоточный анализ и координируют их действия. Таким образом специалисты получают полную картину проблем безопасности и могут решать их быстро и эффективно.

Эффективность системы XDR определяется тремя важными аспектами:

Во-первых, это централизация наборов исторических и оперативных данных о событиях в стандартных форматах и предоставление к ним доступа системам поиска с быстрой индексацией в течение неопределенных периодов времени в высокопроизводительных и масштабируемых хранилищах.

Во-вторых, это использование нескольких методов машинного обучения для анализа больших объемов данных телеметрии от нескольких продуктов для выявления даже незначительной вредоносной активности.

И, наконец, это возможности автоматизации для решения рутинных задач, позволяющие ускорить реагирование или даже усилить защиту и состояние системы безопасности в проактивном режиме.

XDR или
SIEM и SOAR

Системы XDR функционируют аналогично SIEM и SOAR, но имеют три существенных отличия.

Во-первых, это высокий уровень «готовой» интеграции, не требующей дорогостоящей и трудозатратной калибровки.

Во-вторых, системы XDR направлены исключительно на выявление и устранение угроз и включают более эффективные функции обнаружения и анализа.

В-третьих, они, как правило, основаны на облачных инфраструктурах, что значительно ускоряет развертывание.

Вывод

Решения XDR повышают эффективность процессов обеспечения безопасности, снижая общую стоимость владения для интегрируемых решений, что делает такие системы особенно привлекательными для крупных предприятий.

Не все то золото, что XDR

Хотя концепция унифицированной платформы обнаружения и реагирования проста и понятна, реализовать ее на практике довольно сложно. По мнению специалистов Gartner, эффективное объединение наборов данных ― главная трудность при создании платформы XDR. Повторимся: решения безопасности зачастую изолированы и не обеспечивают API-интерфейсы, совместимые структуры баз данных и функции стандартизации данных даже в рамках портфеля одного поставщика. Ситуация с API улучшается, однако интерпретация разных наборов данных и создание оптимального синтаксиса для получения общей картины всей среды требует невероятных усилий.

И, что особенно важно, XDR ― это не то решение, которое можно состряпать на скорую руку. Но, к сожалению, некоторые поставщики пытаются сделать именно это. Многие разработчики автономных решений отслеживания и устранения угроз на уровне сети (NDR) или оконечных устройств (EDR) объединяют свои усилия, заявляя о выпуске XDR-систем. Однако такие проекты за счет недостаточной интеграции, не поддерживаемой на внутреннем уровне, не могут обеспечить заявленные функции.