Che cos'è XDR? (Extended Detection and Response)

XDR (extended detection and response) raccoglie e correla automaticamente i dati tra più livelli di sicurezza: email, endpoint, server, workload in cloud e rete. Ciò permette di rilevare più velocemente le minacce e di migliorare i tempi di indagine e di risposta attraverso l'analisi della sicurezza.

Quando si tratta di rilevamento e risposta, gli analisti del Security Operations Center (SOC) si trovano di fronte a una responsabilità scoraggiante. Devono identificare rapidamente le minacce critiche per limitare il rischio e i danni all'azienda. 

Non sorprende che i team IT e di sicurezza siano spesso sopraffatti da avvisi provenienti da diverse soluzioni. Una società con una media di 1.000 dipendenti può assistere a picchi che raggiungono i 22.000 eventi al secondo diretti verso il proprio sistema SIEM. Si tratta di quasi 2 milioni di eventi in un giorno.^[1] Dispongono di mezzi limitati con cui correlare e dare priorità a questi avvisi, e faticano per eliminare rapidamente ed efficacemente il rumore per mettere in evidenza gli eventi critici. XDR lega automaticamente tra loro una serie di attività a bassa confidenza in un evento a più elevata confidenza, facendo emergere un numero di avvisi minore e con una maggiore priorità per l'intervento.

Molti prodotti di sicurezza forniscono visibilità sulle attività. Ogni soluzione fornisce una specifica forma di visibilità e raccoglie e fornisce dati rilevanti e utili per quella specifica funzione. L'integrazione tra soluzioni di sicurezza può consentire lo scambio e il consolidamento dei dati. Il valore è spesso limitato dal tipo e dalla profondità dei dati raccolti e dal possibile livello di analisi correlata. Ciò significa che sono presenti delle lacune in ciò che un analista può vedere e fare. XDR, al contrario, raccoglie e fornisce l'accesso a un data lake completo di dati di attività provenienti da tutti i singoli strumenti di sicurezza come rilevamenti, telemetria, metadati e flusso di rete. Applicando analisi sofisticate e Informazioni sulle minacce, XDR fornisce l'intero contesto necessario per una visione dell'intera catena di eventi associabili a un attacco attraverso i livelli di sicurezza.

Di fronte a molti registri e avvisi ma senza indicatori chiari, è difficile sapere cosa cercare. Se si individua problema o una minaccia, è difficile mappare il relativo percorso e l'impatto sull'intera azienda. L'esecuzione di un'indagine può richiedere uno sforzo manuale e dispendioso in termini di tempo, anche nel caso in cui ci siano le risorse per farlo. XDR automatizza le indagini sulle minacce eliminando i passaggi manuali e fornisce dati complessi e strumenti per analisi che altrimenti sarebbero impossibili. Basta considerare, ad esempio, l'analisi automatizzata della causa principale. Un analista riesce a vedere chiaramente la linea temporale e il percorso dell'attacco che può attraversare email, endpoint, server, workload in cloud e reti. Tale analista può così valutare ogni fase dell'attacco per attuare la risposta necessaria.

Il risultato di queste sfide è che le minacce non vengono rilevate per troppo tempo, aumentando successivamente i tempi di risposta e incrementando il rischio e le conseguenze di un attacco. XDR porta alla fine a miglioramenti indispensabili nei tassi di rilevamento delle minacce e nei tempi di risposta. Sempre più spesso, le organizzazioni di sicurezza misurano e monitorano il tempo medio di rilevamento (MTTD) e il tempo medio di risposta (MTTR) come parametri chiave delle prestazioni. Allo stesso modo, valutano il valore della soluzione e gli investimenti in base al modo in cui influiscono su tali metriche e quindi riducono i rischi aziendali.