Che cos'è XDR?

Le minacce furtive sfuggono al rilevamento. Si nascondono tra i silos di sicurezza e gli avvisi generati da soluzioni scollegate tra loro, propagandosi col passare del tempo. Nel frattempo, gli analisti di sicurezza sovraccaricati cercano di fare il triage e indagare con una visione ristretta e scollegata sugli attacchi.

XDR rompe questi silos usando un approccio olistico al rilevamento e alla risposta. XDR raccoglie e mette in relazione rilevamenti e dati approfonditi sulle attività su più livelli di sicurezza: email, endpoint, server, workload in cloud e rete. L'analisi automatizzata di questo superset di dati arricchiti rileva le minacce più velocemente. Di conseguenza, gli analisti della sicurezza sono attrezzati per condurre indagini più approfondite e adottare risposte più rapide.

Ulteriori informazioni sui  livelli di sicurezza che possono essere forniti a XDR.

Quando si tratta di rilevamento e risposta, gli analisti del Security Operations Center (SOC) si trovano di fronte a una responsabilità scoraggiante. Devono identificare rapidamente le minacce critiche per limitare il rischio e i danni all'azienda. 

Sovraccarico di avvisi

Non sorprende che i team IT e di sicurezza siano spesso sopraffatti da avvisi provenienti da diverse soluzioni. Una società con una media di 1.000 dipendenti può assistere a picchi che raggiungono i 22.000 eventi al secondo diretti verso il proprio sistema SIEM. Si tratta di quasi 2 milioni di eventi in un giorno.^[1] Dispongono di mezzi limitati con cui correlare e dare priorità a questi avvisi, e faticano per eliminare rapidamente ed efficacemente il rumore per mettere in evidenza gli eventi critici. XDR lega automaticamente tra loro una serie di attività a bassa confidenza in un evento a più elevata confidenza, facendo emergere un numero di avvisi minore e con una maggiore priorità per l'intervento.

Lacune di visibilità tra le soluzioni di sicurezza

Molti prodotti di sicurezza forniscono visibilità sulle attività. Ogni soluzione fornisce una specifica forma di visibilità e raccoglie e fornisce dati rilevanti e utili per quella specifica funzione. L'integrazione tra soluzioni di sicurezza può consentire lo scambio e il consolidamento dei dati. Il valore è spesso limitato dal tipo e dalla profondità dei dati raccolti e dal possibile livello di analisi correlata. Ciò significa che sono presenti delle lacune in ciò che un analista può vedere e fare. XDR, al contrario, raccoglie e fornisce l'accesso a un data lake completo di dati di attività provenienti da tutti i singoli strumenti di sicurezza come rilevamenti, telemetria, metadati e flusso di rete. Applicando analisi sofisticate e threat intelligence, XDR fornisce l'intero contesto necessario per una visione dell'intera catena di eventi associabili a un attacco attraverso i livelli di sicurezza.

Difficoltà nella conduzione delle indagini

Di fronte a molti registri e avvisi ma senza indicatori chiari, è difficile sapere cosa cercare. Se si individua problema o una minaccia, è difficile mappare il relativo percorso e l'impatto sull'intera azienda. L'esecuzione di un'indagine può richiedere uno sforzo manuale e dispendioso in termini di tempo, anche nel caso in cui ci siano le risorse per farlo. XDR automatizza le indagini sulle minacce eliminando i passaggi manuali e fornisce dati complessi e strumenti per analisi che altrimenti sarebbero impossibili. Basta considerare, ad esempio, l'analisi automatizzata della causa principale. Un analista riesce a vedere chiaramente la linea temporale e il percorso dell'attacco che può attraversare email, endpoint, server, workload in cloud e reti. Tale analista può così valutare ogni fase dell'attacco per attuare la risposta necessaria.

Tempi di rilevamento e risposta lenti

Il risultato di queste sfide è che le minacce non vengono rilevate per troppo tempo, aumentando successivamente i tempi di risposta e incrementando il rischio e le conseguenze di un attacco. XDR porta alla fine a miglioramenti indispensabili nei tassi di rilevamento delle minacce e nei tempi di risposta. Sempre più spesso, le organizzazioni di sicurezza misurano e monitorano il tempo medio di rilevamento (MTTD) e il tempo medio di risposta (MTTR) come parametri chiave delle prestazioni. Allo stesso modo, valutano il valore della soluzione e gli investimenti in base al modo in cui influiscono su tali metriche e quindi riducono i rischi aziendali.

XDR rappresenta l'evoluzione del rilevamento e della risposta oltre l'attuale approccio con soluzione specifica e per vettore singolo.

Chiaramente, il rilevamento e la risposta sugli endpoint (EDR) sono stati estremamente preziosi. Tuttavia, nonostante la profondità della sua capacità, l’EDR è limitato perché può solo esaminare e rispondere alle minacce sugli endpoint gestiti. Ciò limita l'ambito delle minacce che possono essere rilevate, nonché la visione di chi e cosa sono stati impattati. Alla fine, queste restrizioni limitano l'efficacia della risposta all'interno del SOC.

Allo stesso modo, la competenza degli strumenti di Network Traffic Analysis (NTA) è limitata alla rete e ai segmenti di rete monitorati. Le soluzioni NTA tendono a generare una grande quantità di log La correlazione tra avvisi di rete e altri dati di attività è fondamentale per dare un senso e incrementare il valore dagli avvisi di rete.

Le aziende utilizzano i SIEM per raccogliere registri e avvisi da più soluzioni. Anche se i SIEM consentono alle aziende di riunire molte informazioni da più sorgenti per una visibilità centralizzata, questo si traduce in un numero schiacciante di avvisi specifici. Tali avvisi sono difficili da classificare ed è complicato comprendere ciò che è critico e necessita di maggiore attenzione. La correlazione e la connessione di tutte le informazioni di registro per ottenere una visione del contesto più ampio sono una grande sfida per una semplice soluzione SIEM.

Al contrario, XDR raccoglie dati approfonditi sulle attività e inserisce tali informazioni in un data lake per consentire la scansione, la ricerca e le indagini su più livelli. L'applicazione dell'IA e dell'analisi di esperti al ricco set di dati consente di generare un numero inferiore di avvisi arricchiti dal contesto, che possono essere inviati alla soluzione SIEM aziendale. XDR non sostituisce il SIEM ma lo potenzia, riducendo il tempo richiesto dagli analisti della sicurezza per valutare gli avvisi e i log pertinenti e decidere ciò che necessita di attenzione e richiede indagini più approfondite.

Più livelli di sicurezza oltre l'endpoint

• Per eseguire le attività di rilevamento e risposta estese, sono necessari almeno due livelli e quanti più sono meglio è: endpoint, email, rete, server e workload in cloud.
• XDR inoltra i dati delle attività dai molteplici livelli verso il data lake. Tutte le informazioni applicabili sono rese disponibili, nella struttura più opportuna, per un'efficace correlazione e analisi.
• L'allontanamento dallo stack di sicurezza nativo di un singolo fornitore impedisce la proliferazione di fornitori/soluzioni. Fornisce anche una profondità senza pari di integrazione e interazione tra le capacità di rilevamento, indagine e risposta.

IA appositamente progettata e analisi di sicurezza da parte di esperti

• La raccolta dei dati è un vantaggio di XDR ma l'applicazione dell'analisi e dell'intelligence per favorire un rilevamento migliore e più veloce è essenziale.
• Poiché la raccolta dei dati di telemetria diventa una funzionalità comune, il valore è generato dall'analisi della sicurezza unita alla threat intelligence che può trasformare le informazioni in comprensione e azioni.
• Un motore di analisi alimentato da sensori intelligenti nativi offre analisi di sicurezza più efficaci di quanto non si possa ottenere altrimenti con prodotti/telemetria di terze parti. Ogni specifico fornitore avrà una comprensione molto più profonda dei dati delle proprie soluzioni rispetto ai dati di una terza parte. Per garantire funzionalità analitiche ottimizzate, la priorità dovrebbe essere assegnata alle soluzioni XDR create appositamente per lo stack di sicurezza nativo di un fornitore.

Piattaforma unica, integrata e automatizzata per una visibilità completa

• XDR consente indagini più approfondite perché, grazie a un’unica vista, è possibile effettuare connessioni logiche dei dati ricevuti.
• Avere una visualizzazione grafica della timeline degli attacchi può fornire, in un unico luogo, una serie di risposte tra cui:

Come l'utente è stato infettato
Qual è stato il primo punto di ingresso
Cosa/chi altro fa parte dello stesso attacco
Dove ha avuto origine la minaccia
Come si è diffusa la minaccia
Quanti altri utenti hanno accesso alla stessa minaccia

• XDR migliora le capacità degli analisti della sicurezza e semplifica i flussi di lavoro. Ottimizza gli sforzi dei team accelerando o rimuovendo i passaggi manuali e consente visualizzazioni e analisi che non possono essere eseguite immediatamente.
• L'integrazione con SIEM e SOAR consente agli analisti di orchestrare le analisi sui dati di XDR con il più ampio ecosistema di sicurezza.