Какво е EDR / XDR / MDR

Софтуерни модули, който непрекъснато наблюдават предаваната от крайните точки информация. Целта е да се откриват аномалии в реално време и да предприемат действия за неутрализиране на потенциални заплахи. EDR решенията събират анонимизирани данни от крайните точки за влизания, мрежова активност, стартирани процеси и др., анализират данните, като използват машинно обучение извършващо поведенчески анализ. Някой решения сравняват получените данни и с примери от реални кирбератаки. При засечена подозрителна активност се изпраща предупреждение до екипите по сигурността. Автоматизирано се стартира "отговор", според предварително зададени правила, например: изолиране на крайна точка от мрежата, за да се предотврати разпространението на зловреден софтуер. Получените данни могат и се съхраняват за бъдеща употреба.

Защо EDR
Фирмите са изложени на широк спектър от кибератаки. От базовите, като прикачен файл към имейл с известен рансъмуер, до по-сложни атаки, с използване exploit или rootkit (техники за скриване/маскиране на зловреденни процеси, стартиране на зловреден софтуер).
Mрежовите защити са ефективни при блокиране на голяма част от кибератаките, но те са само една част от нужната многопластова защитна стратегия и арсенал на организацията. Злонамерен софтуер, може да бъде вкаран чрез преносими носители а реализирани кибератаки към доставчици на софтуер/хардуер и др. могат напълно да ги заобиколят. Използването на EDR е следващото ниво на защита и отговор на повишаващата се сложност на кибератаките, които често се фокусират върху крайните точки като по-лесни цели за проникване във вътрешнофирмената мрежа. EDR осигурява по-високо ниво на сигурност и значително увеличава шансовете за идентифициране и реагиране на тези заплахи.

EDR срещу антивирус
EDR не е антивирусен софтуер, но използва данни от антивирусеният продукт. Антивирусният софтуер е отговорен за защитата срещу известни киберзаплахи, докато EDR идентифицира нови, докато се изпълняват т.е. да открива подозрителна дейност в реално време при активен осъществен пробив. EDR софтуерът е част от най-новото поколение продукти за киберсигурност.

EDR в практиката
Потребителите представляват един от най-големите рискове за всяка система, те могат да причинят щети чрез злонамерени действия или обикновена човешка грешка. Обучението на потребителите (служителтие) повишава осведомеността им относно киберзаплахите, вазжността да избягнат рисково поведение и значително повишава сигурността в организацията. Редовното обучение и практически занятия повишават информираността на потребителите относно актуалните проблеми с киберсигурността, това намалява чувствително времето за реакция, когато възникне инцидент.

Защитните решенията често включват редица ограничения за потребителите, като: невъзможност да се посещават сайтове, невъзможност да се използват преносими устройства, забавен отговор на заявки за търсене в интернет, категоризиране на сайтове в грешни категории и блокирането им. Служителите могат да започнат опити за деактивиране на защита или заобиколянето и, което нага да се вземат комплексни мерки това да те избегне. Не само чисто технически, важно е служителите да бъдат информирани и да разбират защо са налагат тези ограничения. Самите ограничение е важно да бъдат направени така, че да смущават минимално работният процес и да не разкриват ненужна информация.

EDR решенията не са пълноценни, когато се използват самостоятелно, те са една част от решенията за от цялостно осигуряване на информационната и мрежова сигурност, заедно с други инструменти като антивирусна програма, защитни стени, криптиране и др.

EDR срещу XDR
Традиционните EDR инструменти се фокусират само върху данни за крайни точки, осигурявайки видимост на предполагаеми заплахи. Предизвикателствата, пред които са изправени екипите по сигурността: претоварване, използване на тясно специализирани инструменти, липса на интеграция, недостиг на умения, недостатъчно време се увеличават. XDR, или разширено откриване и реакция, е по-усъвършенстваният подход за откриване и реагиране на заплахи. „X“ означава „разширен“ XDR системите използват комбинация от анализи и автоматизация, за да анализират информация от различни източници - крайни точки, облаци, електронна поща, мрежови у-ва и др., осигуряват видимост на процесите протичащи в технологичното оборудване на организацията. Резултатът е опростени разследвания в операциите по сигурността, намаляване на времето необходимо за откриване, разследване и отговор на заплахи.

Инструментите за откриване и реагиране на заплахи винаги са се опитвали да изпреварват киберзаплахите. С нарастването на дистанционната работа и преминаването на повече бизнес функции към облака, откриването и реагирането не винаги е лесна задача. Във високорискова цифрова среда управлението на защитата от киберзаплахи е от особена важност. Екипите по сигурността трябва да разчитат на по-дълбока интеграция и повече автоматизация, за да останат пред киберпрестъпниците. XDR работи, като събира големи обеми от данни от крайни точки, облак, имейл, мрежов трафик, виртуални контейнери и др. включително и данните от изолирани решения за сигурност. Следващата стъпка е анализиране и съпоставяне на данни за автоматично откриване на скрити заплахи, използвайки усъвършенстван изкуствен интелект (AI) и машинно обучение (ML). Приоритизиране на данните за заплахите по тежест, екипът по сигурността да може своевременно да анализира и сортира нови събития и да автоматизира дейностите по разследване и реагиране. XDR технологията е полезна и за пороследяване и анализиране на стъпките, които нападателят е предприел, като се разкрива последователността на процесите преди основната атака. Предоставената ценна информация, може да се използва, за да се идентифицират слаби звена в защитната стратегия и изпълнение.

MDR не е технология, а форма на управлявана услуга, предоставяна от трета страна - доверен доставчик на управлявани услуги за сигурност (EDR и/или XDR). MDR е решение за организации, които имат ограничени ресурси, невъзможноист за непрекъснато наблюдение на потенциални атаки. Организацията представя крайни цели с внедряването на EDR / XDR, доставчикът MDR услугата извършва задълбочена оценка на корпоративните мрежи на клиента, назначава експерти партньори, които анализират риска, разработват стратегия за EDR / XDR. Услугата MDR може да бъде комбинира с други инструменти за киберсигурност, като: SIEM - съчетава управлението на информацията за сигурността SIM с управлението на събития за сигурност SEM SOAR - централизирано управление, автоматизация и реакция на сигурността. Прави възможно координиране, изпълнение и автоматизиране на задачи между различни хора и инструменти в рамките на една платформа. UEBA - анализ на поведението на потребителите и субектите, за да се предоставят услуги за намаляване на риска за киберсигурността от край до край, които не се ограничават до откриване и реагиране на проникване.