Rozszerzona telemetria wykrywania i reagowania (XDR) odnosi się do gromadzenia danych z warstw zabezpieczeń i rozwiązań, w tym dotyczących poczty elektronicznej, punktów końcowych, serwerów, obciążeń chmury i sieci. Platforma XDR konsoliduje i sprawdza informacje o aktywności, aby wykrywać i szukać znanych i nieznanych zagrożeń oraz pomagać w analizie przyczyn.
Spis treści
Zrozumienie telemetrii XDR
Telemetria XDR zapewnia zespołom centrum operacji bezpieczeństwa (SOC) praktyczne informacje, skonsolidowane na podstawie danych w czasie rzeczywistym z całego środowiska cyfrowego. Jest to kluczowy element redukcji powierzchni ataku i proaktywnego zarządzania ryzykiem, pomagający SOC agregować i korelować dane w celu wizualizacji, ustalania priorytetów i łagodzenia zagrożeń. Umożliwia to również rozbicie silosów danych, zapewniając szybszą i bardziej świadomą identyfikację ryzyka i środki reagowania.
Z czasem telemetria XDR ewoluowała od prostego rejestrowania zdarzeń do zaawansowanej analizy w czasie rzeczywistym. Wczesne podejścia pozwoliły uzyskać podstawowe informacje na temat alarmów, ale to nie wystarczy, aby wyprzedzić cyberprzestępców i naprawdę przejąć kontrolę nad ryzykiem. Od tego czasu telemetria rozszerzyła się o dane behawioralne, wzorce ruchu, zmiany w konfiguracjach, a nawet szyfrowane odciski palców dla klientów Transport Layer Security (TLS) za pośrednictwem JA3.
Sztuczna inteligencja (AI), uczenie maszynowe (ML) i automatyzacja odgrywają kluczową rolę w każdej proaktywnej strategii bezpieczeństwa wykorzystującej telemetrię XDR, wyposażając zespoły SOC w wystarczający kontekst, aby szybciej reagować.
Typy telemetrii według warstwy zabezpieczeń
Platformy, rozwiązania i możliwości cyberbezpieczeństwa gromadzą dane o różnych zdarzeniach. Różnią się one ilością i złożonością w zależności od danej organizacji, dlatego posiadanie spersonalizowanej, scentralizowanej platformy pomaga szybko analizować i ustalać priorytety. Konsolidacja danych telemetrycznych XDR i wbudowanie ich w bezpieczny „hub” dla uproszczenia dostępu sprawia, że zespoły SOC nie muszą szukać rozwiązań silosowych. Pozwala to organizować i reagować na zdarzenia związane z bezpieczeństwem w trybie pilnym, ograniczając przeciążenie alarmowe i zmniejszając obciążenie zasobów.
Dane zdarzeń obejmują wszystko, od informacji o plikach dostępnych dla użytkownika po modyfikacje rejestru na urządzeniach. Niektóre z skategoryzowanych przykładów to:
Zdarzenia sieciowe
- Wzorce przepływu ruchu sieciowego
- Połączenia obwodowe i poziome
- Podejrzane zachowanie w ruchu
- Fingerprinting dla TLS, dawniej Secure Sockets Layer (SSL), via JA3
Chmura
- Zmiany konfiguracji
- Nowe lub zmienione instancje
- Aktywność na kontach użytkowników
- Procesy
- Wykonane polecenia
- Połączenia sieciowe
- Pliki utworzone lub dostępne
- Modyfikacje rejestru
Poczta e-mail
- Metadane wiadomości dla zewnętrznej i wewnętrznej poczty e-mail
- Metadane załączników
- Łącza zewnętrzne
- Aktywność użytkownika, np. logowanie
Punkty końcowe
- Procesy
- Wykonane polecenia
- Połączenia sieciowe
- Pliki utworzone lub dostępne
- Zmiany w rejestrze
Rola telemetrii w wydajności XDR
Platformy XDR wyróżnia rodzaj gromadzonych danych i sposób ich wykorzystania.
Platforma XDR zbudowana głównie na własnym natywnym stosie zabezpieczeń ma tę zaletę, że lepiej rozumie dane. dzięki czemu może zbierać dokładnie takie dane, jakich potrzebuje do optymalizacji modeli analitycznych do wykrywania korelacyjnego, prowadzenia szczegółowych dochodzeń oraz wyszukiwania zagrożeń.
Dostawcy, którzy pobierają dane głównie z produktów innych firm, zazwyczaj nie mają wystarczającego kontekstu, co pozwala uzyskać jedynie wgląd na poziomie powierzchni. Być może brakuje im rodzaju i głębi danych telemetrycznych potrzebnych do pełnego zrozumienia zagrożeń, z jakimi borykają się organizacje. Chociaż telemetria, metadane i NetFlow są powszechnie używane, same dane alarmowe mogą nie zawierać szczegółów działania potrzebnych do skutecznej analizy i analizy. Zrozumienie struktury i przechowywania danych telemetrycznych ma kluczowe znaczenie, ponieważ wpływa na sposób ich pozyskiwania, wyszukiwania i wykorzystywania do analiz aktywności.
Wykorzystując przykład danych sieciowych, baza danych wykresów może być bardzo wydajna, a w przypadku danych o punktach końcowych dobrze nadaje się otwarty mechanizm wyszukiwania i analizy, taki jak Elasticsearch. Posiadanie różnych struktur jezior danych może pomóc w wykrywaniu, korelowaniu i wyszukiwaniu, ale tylko wtedy, gdy mogą ze sobą „mówić” za pośrednictwem scentralizowanej platformy XDR.
Najważniejsze cechy i zalety skutecznej telemetrii XDR
Kompleksowy wgląd w dane z całego środowiska
Platformy XDR zbierają dane telemetryczne z całego środowiska cyfrowego, zapewniając zespołom SOC przejrzysty, całościowy i kompletny obraz zdarzeń związanych z bezpieczeństwem. Jak wspomniano wcześniej, nowoczesna telemetria XDR wykracza poza tradycyjne dzienniki i alarmy, obejmując dane o aktywności, przepływy w sieci, wykonywanie procesów i wskaźniki behawioralne.
Zautomatyzowana korelacja i analiza danych
Zaawansowane modele wykrywania analizują i korelują różne źródła danych w czasie rzeczywistym. Pomaga to wykrywać wzorce ataków, podejrzane zachowania i inne elementy ryzyka we wszystkich warstwach zabezpieczeń. Wykorzystując te spostrzeżenia, możesz mieć pewność co do swoich działań w zakresie reagowania, nadawać priorytety i być informowanym przez najnowsze analizy danych.
Interoperacyjność i elastyczna architektura
Najskuteczniejsze i najbardziej proaktywne podejście do telemetrii XDR bezproblemowo integruje się z istniejącymi bazami danych, jeziorami danych i silnikami analitycznymi. Obsługuje również wydajne i usprawnione przechowywanie, zapytania i analizy dostosowane do różnych rodzajów danych o aktywności.
Integracja AI i ML
Modern XDR wykorzystuje możliwości AI i ML do analizowania strumieni telemetrycznych w czasie rzeczywistym. Modele stale dostosowują się do najnowszych zagrożeń, metod ataku i typów ryzyka, aby pomóc Ci nie tylko nadążyć za przeciwnikami, ale także zobaczyć ich kolejne działania. Analityka predykcyjna pomaga wykrywać podejrzane zachowania i rozwiązywać je, zanim dojdzie do naruszenia bezpieczeństwa. Innymi słowy, nic nie pozostaje przypadkowi. Te zaawansowane, zintegrowane technologie zawsze się uczą i dostosowują.
Telemetria XDR vs powiadomienia SIEM
Tradycyjne zarządzanie informacjami i zdarzeniami bezpieczeństwa (SIEM) skutecznie agreguje dzienniki i alerty, ale nie jest tak skuteczne w przypadku łączenia wielu alertów powiązanych z tym samym incydentem. Wymaga to analizy na poziomie podstawowej telemetrii w różnych warstwach zabezpieczeń.
Dzięki danym telemetrycznym alarmy XDR mogą uwzględniać informacje alarmowe i inne krytyczne działania pozwalające zidentyfikować podejrzaną lub złośliwą aktywność. Na przykład samo działanie Microsoft PowerShell może nie spowodować alarmu SIEM, ale XDR jest w stanie ocenić i skorelować działania w kilku warstwach zabezpieczeń, w tym w punkcie końcowym.
Dzięki zastosowaniu modeli wykrywania na zebranej telemetrii platforma XDR może identyfikować i wysyłać do SIEM mniej alertów o wyższym poziomie pewności, zmniejszając ilość triażu wymaganego przez analityków zabezpieczeń.
W jaki sposób telemetria XDR współpracuje z AI i ML?
Oparte na sztucznej inteligencji platformy XDR mogą analizować w czasie rzeczywistym rozległe strumienie danych telemetrycznych, wyróżniając subtelne wzory i anomalie, które tradycyjne metody mogą przeoczyć. Ta zdolność do szybkiego rozpoznawania wzorców umożliwia dokładniejsze wykrywanie zagrożeń i zaawansowanych zagrożeń, w tym luk typu zero-day i ruchu bocznego w sieciach.
W międzyczasie ML nieustannie uczy się na podstawie najnowszych analiz zagrożeń i dostosowuje się do zmieniających się taktyk ataku. Dzięki temu identyfikacja zagrożeń jest bardziej precyzyjna, co pomaga zespołom SOC ograniczyć liczbę fałszywych alarmów i skupić się na tym, co wymaga ich najpilniejszej uwagi, bez przeciążenia i przytłoczenia. Automatyzując korelację danych z punktów końcowych, sieci i środowisk chmurowych, to połączenie sztucznej inteligencji i ML stanowi proaktywną „jednodwóch punktów” potrzebnych do wyeliminowania wąskich gardeł, usprawnienia operacji bezpieczeństwa i przyspieszenia reakcji na incydenty.
Jakie wyzwania wiążą się z telemetrią XDR?
Jeśli dane telemetryczne gromadzone z punktów końcowych, sieci, środowisk chmurowych i aplikacji nie będą prawidłowo konsolidowane i traktowane priorytetowo, może dojść do przeciążenia informacji. Zespoły ds. bezpieczeństwa mogą mieć trudności z analizowaniem i ustalaniem priorytetów tego ciągłego napływu, stwarzając dodatkowe zagrożenia, takie jak pominięte zagrożenia, wyczerpanie zasobów lub zmęczenie alertów. Integracja telemetrii z różnymi systemami wymaga również solidnej interoperacyjności, ale techniczne silosy i zastrzeżone formaty często utrudniają bezproblemową agregację.
Kolejnym wyzwaniem jest uzyskanie spójnego dostępu do dokładnych danych w czasie rzeczywistym. Niekompletna lub niespójna telemetria może podważać modele wykrywania, dając fałszywe wyniki dodatnie lub powodując, że zespół SOC przeoczy ukryte lub subtelne wzorce ataków. Istnieje również potrzeba zachowania zgodności z przepisami dotyczącymi prywatności i bezpieczeństwa, szczególnie w środowiskach takich jak rząd, finanse i opieka zdrowotna.
Ponadto efektywne wdrażanie analityki opartej na sztucznej inteligencji w platformach XDR opiera się na dobrze wyszkolonych modelach, które można stymulować przez ewoluujące zagrożenia i techniki przeciwników. Wreszcie, obciążenie operacyjne związane z utrzymywaniem, dostrajaniem i skalowaniem rozwiązań XDR może obciążać zasoby, szczególnie w przypadku organizacji o ograniczonej wiedzy specjalistycznej lub ograniczonym budżecie.
Jakie jest podejście Trend Micro do telemetrii XDR?
Podejście Trend do telemetrii XDR zostało stworzone z myślą o nowej generacji SOC. Dzięki integracji danych telemetrycznych z punktów końcowych, sieci, poczty e-mail i chmury koreluje dane z różnych warstw zabezpieczeń, przekształcając silosy danych w użyteczne informacje, przyspieszając jednocześnie reakcję. Zaawansowane agentyczne technologie AI, ML i automatyzacji umożliwiają wykrywanie zagrożeń w czasie rzeczywistym, w tym luk typu zero-day i ruchów bocznych, które tradycyjne narzędzia mogą przegapić. Zautomatyzowana korelacja i kontekstowa ocena ryzyka ustala priorytety najbardziej krytycznych zagrożeń, umożliwiając zespołom ds. bezpieczeństwa szybsze i dokładniejsze reagowanie. Takie podejście pomaga również nadać priorytet interoperacyjności, zapewniając płynną integrację z różnymi środowiskami i rozwiązaniami innych firm.
Joe Lee jest wiceprezesem ds. zarządzania produktami w Trend Micro, gdzie kieruje globalną strategią i rozwojem produktów w zakresie rozwiązań bezpieczeństwa poczty elektronicznej i sieci dla przedsiębiorstw.
Powiązane artykuły
Trend 2025 Cyber Risk Report
From Event to Insight: Unpacking a B2B Business Email Compromise (BEC) Scenario
Understanding the Initial Stages of Web Shell and VPN Threats: An MXDR Analysis
The Forrester Wave™: Enterprise Detection and Response Platforms, Q2 2024
It’s Time to Up-Level Your EDR Solution
Silent Threat: Red Team Tool EDRSilencer Disrupting Endpoint Security Solutions
Modernize Federal Cybersecurity Strategy with FedRAMP
2024 Gartner® Magic Quadrant™ for Endpoint Protection Platforms (EPP)
The Forrester Wave™: Endpoint Security, Q4, 2023