Qu’est-ce que XDR? (Extended Detection and Response)

XDR (détection et réponse étendues) collecte et met automatiquement en corrélation des données sur plusieurs couches de sécurité : email, endpoint, serveur, charge de travail sur le Cloud et réseau. Cela permet une détection plus rapide des menaces ainsi qu’une amélioration des temps d’enquête et de réponse lors de l’analyse de sécurité.

Lorsqu'il s'agit de détection et de réponse, les analystes des centres d'opérations de sécurité (SOC) sont confrontés à une lourde responsabilité. Ils doivent identifier rapidement les menaces critiques afin de limiter les risques et les dommages pour l'organisation. 

Sans surprise, les équipes IT et de sécurité sont souvent submergées d'alertes provenant de différentes solutions. Une entreprise comptant en moyenne 1 000 employés peut percevoir un pic allant jusqu’à 22 000 événements par seconde entrer dans son système de gestion des informations et des événements de sécurité (SIEM). Cela représente quasiment 2 millions d’événements en une journée.^[1] Elles disposent de moyens limités pour mettre en corrélation et hiérarchiser ces alertes, tout en éprouvant des difficultés pour identifier rapidement et efficacement les événements critiques parmi les fausses alertes. XDR rassemble automatiquement une série d’activités à faible niveau de confiance dans un événement à niveau de confiance plus élevé, identifiant des alertes en nombre moindre mais plus hiérarchisées pour agir.

De nombreux produits de sécurité fournissent de la visibilité sur l’activité. Mais chaque solution offre un point de vue spécifique et recueille/fournit des données selon le besoin pour cette fonction. L'intégration entre les solutions de sécurité peut permettre d'échanger et de consolider les données. Mais la valeur est souvent limitée par le type et la profondeur des données collectées, ainsi que par le niveau d'analyse de mise en corrélation possible. Il y a donc des écarts dans ce qu’un analyste peut voir et faire. XDR, en revanche, collecte un data lake complet d’activité (détections, télémétrie, métadonnées et netflow) sur différents outils de sécurité, et permet d'y accéder. XDR applique un traitement analytique sophistiqué et une veille sur les menaces afin de fournir tout le contexte nécessaire pour une vue sur toute la chaîne d’événements centrée sur l’attaque, à travers les couches de sécurité.

Face aux nombreux journaux et alertes, mais en l’absence d’indicateurs clairs, il est difficile de savoir quoi chercher. Si vous détectez un problème ou une menace, il peut être difficile de cartographier son parcours et son impact dans l’organisation. La réalisation d’une investigation peut être un effort long et manuel, à condition toutefois que les ressources nécessaires soient disponibles. XDR automatise les enquêtes sur les menaces en éliminant les étapes manuelles, et fournit des outils et des données riches pour effectuer une analyse qui serait impossible autrement. Prenons, par exemple, l'analyse automatisée des causes profondes. Un analyste peut voir clairement la chronologie et le chemin de l'attaque qui peut traverser les emails, les endpoints, les serveurs, les charges de travail sur le Cloud et les réseaux. L'analyste peut à présent évaluer chaque étape de l'attaque pour mettre en œuvre la réponse nécessaire.

Le résultat de ces défis est que les menaces restent trop longtemps non détectées, ce qui augmente le temps de réponse et accroît le risque et les conséquences d'une attaque. XDR apporte finalement des améliorations fortement nécessaires dans les taux de détection et de remédiation. De plus en plus, les organisations de sécurité mesurent et surveillent le MTTD (mean-time-to-detect, délai de détection moyen) et le MTTR (mean-time-to-respond, délai de remédiation moyen) en tant que mesures de performances clés. De même, elles évaluent la valeur des solutions et des investissements en fonction de la manière dont ils permettent d'atteindre ces paramètres et de réduire ainsi les risques commerciaux de l'entreprise.