Che cos'è XDR?

XDR significa rilevamento e risposta multi-livello.

Le minacce furtive sfuggono al rilevamento. Si nascondono tra i silos di sicurezza e avvisi di soluzioni disconnesse e si propagano col passare del tempo, mentre gli analisti della sicurezza cercano di valutare e investigare con punti di vista sull’attacco ristretti e disconnessi.

XDR rompe questi silos usando un approccio olistico al rilevamento e alla risposta. XDR raccoglie e mette in relazione rilevamenti e dati approfonditi sulle attività su più livelli di sicurezza: email, endpoint, server, workload in cloud e rete. L'analisi automatizzata di questo ricco superset di dati significa che le minacce vengono rilevate più rapidamente e gli analisti della sicurezza sono attrezzati per svolgere indagini più approfondite e intraprendere rapidamente le azioni conseguenti.

Scopri di più sui  livelli di sicurezza che possono essere forniti a XDR.

Quando si tratta di rilevamento e risposta, gli analisti SOC si trovano ad affrontare la scoraggiante responsabilità di identificare rapidamente le minacce critiche per limitare il rischio e il danno per l'azienda, eppure devono farlo in circostanze tutt’altro che ideali. 

Sovraccarico di avvisi

Non sorprende che i team IT e di sicurezza siano spesso sopraffatti da avvisi attivati ​​da diverse soluzioni. Una società con una media di 1.000 dipendenti può assistere nel proprio SIEM a picchi che raggiungono i 22.000 eventi al secondo. Sono quasi 2 milioni di eventi in un giorno.^[1] Di fronte a un ampio volume di allarmi con pochi mezzi per correlarli e assegnare loro la corretta priorità, anche gli analisti più abili faticano a eliminare rapidamente o efficacemente il rumore di fondo per trovare gli eventi critici. XDR può collegare automaticamente una serie di attività a bassa sicurezza in un evento a maggiore sicurezza, facendo emergere un minor numero di avvisi di maggiore priorità per l'azione.

Lacune di visibilità

Mentre molti prodotti per la sicurezza forniscono visibilità sugli avvisi e sull'attività, ogni prodotto offre una prospettiva specifica e raccoglie/fornisce dati rilevanti e utili per quella funzione. L'integrazione tra prodotti di sicurezza può consentire lo scambio e il consolidamento dei dati, ma il valore è spesso limitato dal tipo e dalla profondità dei dati raccolti e dal possibile livello di analisi correlata. Ciò significa che ci sono lacune in ciò che è possibile vedere e fare. XDR, al contrario, raccoglie e fornisce l'accesso a un data lake completo di dati di attività (rilevamenti, telemetria, metadati, flusso di rete, ecc.) provenienti da tutti i singoli strumenti di sicurezza. Applicando analisi sofisticate e threat intelligence, XDR fornisce l'intero contesto necessario per una visione dell'intera catena di eventi associabili a un attacco attraverso i livelli di sicurezza.

Difficoltà a svolgere le indagini

Di fronte a molti registri e avvisi ma senza indicatori chiari, è difficile sapere cosa cercare. Se si individuano un problema o una minaccia, è difficile mappare il relativo percorso e l'impatto in tutta l'azienda. L'esecuzione di un'indagine può richiedere uno sforzo manuale e dispendioso in termini di tempo, anche nel caso in cui ci siano le risorse per farlo. XDR automatizza i processi eliminando i passaggi manuali e fornisce dati e strumenti per analisi che altrimenti sarebbero impossibili. Basta considerare, ad esempio, l'analisi automatizzata della causa principale, in cui un analista può vedere chiaramente la sequenza temporale e il percorso di attacco (che può attraversare email, endpoint, server, cloud e rete) e approfondire per valutare ogni fase dell'attacco al fine di attuare la risposta necessaria.

E alla fine... tempi di rilevamento e risposta lenti

Il risultato delle sfide menzionate è che le minacce non vengono rilevate per troppo tempo, aumentando successivamente i tempi di risposta, il che aumenta il rischio e le conseguenze di un attacco. Il rilevamento e la risposta su più livelli porta alla fine a miglioramenti indispensabili nei tassi di rilevamento delle minacce e nei tempi di risposta. Sempre più spesso, il tempo medio di rilevamento (MTTD) e il tempo medio di risposta (MTTR) vengono misurati e monitorati come parametri chiave delle prestazioni delle organizzazioni di sicurezza. Allo stesso modo, il valore della soluzione e gli investimenti sono valutati in base al modo in cui influiscono su tali metriche e quindi riducono i rischi aziendali.

XDR fornisce l'evoluzione del rilevamento e della risposta oltre l'attuale approccio con soluzione specifica e per vettore singolo.

Chiaramente, il rilevamento e la risposta sugli endpoint (EDR) sono stati estremamente preziosi. Tuttavia, nonostante la profondità della sua capacità, l’EDR è alla fine limitato perché può solo esaminare gli endpoint gestiti. Ciò limita l’ambito delle minacce che possono essere rilevate, nonché la visione di chi e cosa sono i destinatari dell'impatto e, quindi, il modo migliore per rispondere.

Allo stesso modo, la competenza degli strumenti di Network Traffic Analysis (NTA) è limitata alla rete e ai segmenti di rete monitorati. Le soluzioni NTA tendono a generare una grande quantità di registri, quindi la correlazione tra avvisi di rete e altri dati di attività è fondamentale per dare un senso e incrementare il valore dagli avvisi di rete.

Il settore ha fatto passi da gigante nel rilevamento e nella risposta, ma a oggi le capacità sono state fornite attraverso una soluzione specifica e un unico livello di sicurezza. Pertanto i vantaggi della raccolta e dell'analisi dei dati sono rimasti isolati. XDR fa evolvere il rilevamento e la risposta in un'attività consolidata e centralizzata che offre risultati superiori alla somma delle parti.

Le aziende utilizzano i SIEM per raccogliere registri e avvisi da più soluzioni. Anche se i SIEM consentono alle aziende di riunire molte informazioni da più sorgenti per una visibilità centralizzata, questo si traduce in un numero schiacciante di avvisi specifici. Tali avvisi sono difficili da classificare al fine di comprendere ciò che è critico e necessita di maggiore attenzione. La correlazione e la connessione di tutte le informazioni di registro per ottenere una visione del contesto più ampio sono una grande sfida per il solo SIEM.

Al contrario, XDR raccoglie dati approfonditi sulle attività e inserisce tali informazioni in un data lake per consentire la scansione, la ricerca e le indagini su più livelli. L'applicazione dell'IA e dell'analisi di esperti al ricco set di dati consente di generare un numero inferiore di avvisi arricchiti dal contesto, che possono essere inviati alla soluzione SIEM aziendale. XDR non sostituisce il SIEM ma lo potenzia, riducendo il tempo richiesto dagli analisti della sicurezza per valutare gli avvisi e i registri pertinenti e decidere ciò che necessita di attenzione e richiede indagini più approfondite.

Più livelli di sicurezza oltre l'endpoint

• Per eseguire il rilevamento e la risposta a più livelli, sono necessari almeno due livelli e tanto più sono meglio è: endpoint, email, rete, server e workload in cloud.
• XDR amplia l'ambito del rilevamento e della risposta oltre i soli endpoint. Estende l'EDR a importanti aree di attività aggiuntive. L’email, ad esempio, è fondamentale dato che è la fonte di attacco numero uno.
• XDR aggiunge i dati delle attività provenienti da più livelli a un data lake in modo che tutte le informazioni applicabili, nella struttura più opportuna, siano rese disponibili per correlazioni e analisi efficaci.
• Affidarsi allo stack di sicurezza nativo di uno specifico fornitore impedisce la proliferazione di soluzioni specifiche per ogni singolo fornitore e offre una profondità di integrazione e interazione senza pari tra capacità di rilevamento, indagine e risposta.

IA appositamente progettata e analisi di sicurezza da parte di esperti

• La raccolta di dati è un vantaggio di XDR ma il suo obiettivo finale è l'applicazione dell'analisi e dell'intelligence per favorire un rilevamento migliore e più veloce.
• Poiché la raccolta dei dati di telemetria diventa una funzionalità comune, il valore è generato dall'analisi della sicurezza unita alla threat intelligence che può trasformare le informazioni in comprensione e azioni.
• Un motore di analisi alimentato da sensori intelligenti nativi fornisce analisi di sicurezza più efficaci di quanto non si possa ottenere altrimenti con prodotti/telemetria di terze parti. Ogni determinato fornitore avrà una comprensione molto più profonda dei dati dei propri prodotti rispetto ai dati di una terza parte. La priorità dovrebbe essere data alle soluzioni XDR create appositamente per lo stack di sicurezza nativo di un fornitore per garantire funzionalità analitiche ottimizzate.

Piattaforma unica, integrata e automatizzata per una visibilità completa

• XDR consente indagini più approfondite perché, grazie a un’unica vista, è possibile effettuare connessioni logiche dei dati ricevuti.
• Avere una visualizzazione grafica della timeline degli attacchi può fornire, in un unico luogo, una serie di risposte tra cui:

Come l'utente è stato infettato
Qual è stato il primo punto di ingresso
Cosa/chi altro fa parte dello stesso attacco
Dove ha avuto origine la minaccia
Come si è diffusa la minaccia
Quanti altri utenti hanno accesso alla stessa minaccia

• XDR migliora le capacità degli analisti della sicurezza e semplifica i flussi di lavoro. Ottimizza gli sforzi dei team accelerando o rimuovendo i passaggi manuali e consente visualizzazioni e analisi che non possono essere eseguite immediatamente.
• L'integrazione con SIEM e SOAR consente agli analisti di orchestrare le analisi sui dati di XDR con il più ampio ecosistema di sicurezza.