La telemetría de XDR se refiere a los datos recopilados por soluciones de seguridad específicas – incluyendo pero no limitado a email, endpoint, servidor, workload en la nube y red. Ya que cada capa o solución de seguridad contiene varios tipos de datos de actividades, una plataforma XDR recolecta la telemetría para detectar y hacer hunting de amenazas desconocidas y asistir en el análisis de causa raíz.
Tipo de telemetría por capa de seguridad
Las soluciones de seguridad recopilan datos de una variedad de eventos que ocurren en un día. Estos eventos varían desde información de archivos a los que acceden los usuarios hasta la modificación de registros en un dispositivo. Ejemplos de este tipo de datos recolectados incluyen, pero no están limitados a, lo siguiente:
Eventos de red
Workloads en la nube
Correo electrónico
Endpoints
Cómo la telemetría recopilada hace la diferencia
Lo que diferencia a las plataformas de XDR es el tipo de datos recopilados y lo que se hace con ellos.
Una plataforma XDR creada principalmente en su propio stack de seguridad nativo tiene la ventaja de un entendimiento más profundo de los datos. Esto permite que la plataforma pueda recolectar exactamente lo necesario para optimizar modelos analíticos para lograr detecciones correlacionadas, investigaciones profundas y threat hunting.
Los vendors que se enfocan principalmente en obtener datos de productos de terceros comienzan, desafortunadamente, con un menor entendimiento de los datos asociados. Estos vendors probablemente no están obteniendo el tipo y profundidad de la telemetría necesarios para comprender el contexto completo de las amenazas.
Aunque es práctica común observar la telemetría, los metadatos y NetFlow, esta alerta de datos realmente no ofrece información relacionada con las actividades requeridas para correr analíticos y potenciar insights accionables.
Entender la forma en que se estructura y se almacena la telemetría es tan importante como entender cuál es la telemetría que se está recopilando. Dependiendo de los datos de actividades, las diferentes bases de datos y esquemas son mejores para optimizar la captura, consulta y uso de los datos.
Usando los datos de red como ejemplo, una base de datos de gráficos podría ser la más eficiente, pero para los datos de endpoints, sería preferible un motor abierto de búsqueda y analíticos como Elasticsearch.
Tener varias estructuras de data lake configuradas para distintos tipos de telemetría puede hacer una gran diferencia en la eficiencia de los datos y su efectividad para la detección, correlación y búsqueda.
Telemetría de XDR vs. alertas SIEM
Aunque SIEM es efectiva para agregar los logs y las alertas; no es tan eficiente para conectar múltiples alertas identificadas con el mismo incidente. Esto podría requerir una evaluación de la telemetría raíz a lo largo de las capas de seguridad.
Al potenciar la telemetría, las alertas de XDR consideran la información sobre la alerta así como otras actividades críticas diseñadas para identificar actividades sospechosas o maliciosas. Por ejemplo, la actividad de PowerShell por sí sola podría no resultar en una alerta SIEM, pero XDR puede evaluar y correlacionar actividades a lo largo de varias capas de seguridad, incluyendo el endpoint.
Al correr modelos de detección en la telemetría recopilada, una plataforma XDR puede identificar y mandar menos alertas, pero de mayor confianza, al SIEM, reduciendo el tiempo y esfuerzo de triaje requerido por los analistas de seguridad.