Телеметрия расширенного обнаружения и реагирования (XDR) — это сбор данных с уровней безопасности и решений, в том числе для электронной почты, конечных точек, серверов, облачных рабочих нагрузок и сетей. Платформа XDR консолидирует и проверяет аналитические данные об активности для обнаружения и поиска известных и неизвестных угроз, а также помогает в анализе первопричин.
Содержание
Понимание телеметрии XDR
Телеметрия XDR предоставляет командам центров безопасности (SOC) полезную информацию на основе данных в реальном времени в цифровой среде. Это критически важный компонент для сокращения поверхности атаки и проактивного управления рисками, помогающий SOC собирать и сопоставлять данные для визуализации, приоритизиации и снижения угроз. Он также позволяет консолидировать разрозненные данные, обеспечивая более быстрое и информированное выявление рисков и меры реагирования.
Со временем телеметрия XDR превратилась из простой регистрации событий в сложную аналитику в реальном времени. В ранних версиях этого подхода собирались базовые сведения о предупреждениях, но этого было недостаточно, чтобы опережать злоумышленников и по-настоящему контролировать риски. С тех пор телеметрия расширилась и стала включать поведенческие данные, паттерны трафика, изменения в конфигурациях и даже зашифрованные отпечатки пальцев для клиентов TLS через JA3.
ИИ, машинное обучение и автоматизация играют важную роль в любой проактивной стратегии безопасности, использующей телеметрию XDR. Они дают командам SOC достаточно контекста для более быстрого реагирования.
Типы телеметрии на разных уровнях безопасности
Платформы, решения и возможности кибербезопасности собирают данные о различных событиях. Их количество и сложность зависят от организации, а персонализированная централизованная платформа помогает быстрее анализировать их и расставлять приоритеты. Телеметрия XDR консолидируется и передается в безопасный хаб с удобным доступом, так что командам SOC не приходится переключаться между разрозненными точечными решениями. Зато они могут ранжировать события безопасности и решать проблемы в порядке срочности, не обрабатывая огромные объемы оповещений и используя ресурсы экономно.
Данные о событиях включают в себя, например, информацию о файлах, открытых пользователем, или изменения реестра на устройствах. Некоторые примеры по категориям:
События в сети
- Паттерны в трафике
- Соединения через периметр и внутри сети
- Подозрительный трафик
- Отпечатки пальцев для TLS, ранее SSL, через JA3
Облачные нагрузки
- Изменения в конфигурации
- Новые или измененные экземпляры
- Активность в учетных записях пользователей
- Процессы
- Выполненные команды
- Сетевые соединения
- Создание файлов и доступ к файлам
- Изменения реестра
Электронная почта
- Метаданные писем (внутренняя и внешняя эл. почта)
- Метаданные вложений
- Внешние ссылки
- Действия пользователей (например, вход в систему)
Конечные точки
- Процессы
- Выполненные команды
- Сетевые соединения
- Создание файлов и доступ к файлам
- Внесение изменений в реестр
Роль телеметрии для XDR
Платформы XDR выделяются благодаря типу собираемых данных и тому, как они используются.
Платформа XDR, созданная на основе собственного стека безопасности, имеет преимущество, поскольку мы лучше понимаем данные. Это позволяет платформе собирать именно то, что необходимо для оптимизации аналитических моделей, чтобы находить корреляции, проводить углубленные исследования и активно искать угрозы.
Поставщики, которые в основном получают данные из сторонних продуктов, как правило, не могут опираться на достаточный контекст и получают лишь поверхностный обзор. Им не хватает разнообразия и глубины телеметрии, необходимых для полного понимания рисков и угроз, с которыми сталкиваются организации. Многие организации полагаются на телеметрию, метаданные и учет трафика, но эти данные не всегда позволяют получить представление об активности, необходимое для эффективного анализа. Важно понимать структуру телеметрии и ее хранение, поскольку эти факторы влияют на то, как данные собираются, запрашиваются и используются для анализа активности.
Если взять в качестве примера сетевые данные, наиболее эффективной будет графовая база данных, а для данных конечных точек предпочтительнее открытая система поиска и аналитики, вроде Elasticsearch. Различные структуры озер помогают в обнаружении, корреляции и поиске, но только если они могут обмениваться данными друг с другом через централизованную платформу XDR.
Главные характеристики и преимущества эффективной телеметрии XDR
Комплексная аналитика данных по всей среде
Платформы XDR собирают телеметрию из всей цифровой среды, формируя для команд SOC четкое, целостное и полное представление о событиях безопасности. Как уже упоминалось, современная телеметрия XDR выходит за рамки традиционных логов и оповещений и включает данные об активности, сетевые потоки, выполнение процессов и поведенческие индикаторы.
Автоматическая корреляция и аналитика данных
Расширенные модели обнаружения анализируют и сопоставляют разрозненные источники данных в реальном времени, чтобы вы могли выявлять паттерны атак, подозрительное поведение и другие элементы риска на всех уровнях безопасности. Используя эти аналитические данные, вы уверенно реагируете на угрозы, расставляя приоритеты и оценивая актуальную информацию.
Совместимость и гибкая архитектура
Наиболее эффективные и проактивные подходы к телеметрии XDR легко интегрируются с базами данных, озерами данных и системами аналитики. Они также поддерживают эффективное и оптимизированное хранение, запросы и анализ, адаптированные к различным типам данных об активности.
Интеграция ИИ и машинного обучения
Современные XDR используют возможности ИИ и машинного обучения для анализа телеметрических потоков в реальном времени. Модели постоянно адаптируются к новейшим угрозам, методам атак и типам рисков, помогая вам не только не отставать от злоумышленников, но и предвидеть их дальнейшие шаги. Прогнозная аналитика помогает обнаруживать подозрительное поведение и устранять его до того, как произойдет взлом. Другими словами, вам не придется полагаться на удачу. Эти мощные интегрированные технологии непрерывно учатся и адаптируются.
Телеметрия XDR и оповещения SIEM
Традиционная система управления информацией о безопасности и событиями безопасности (SIEM) эффективно агрегирует логи и оповещения, но не так хорошо сопоставляет несколько оповещений, связанных с одним инцидентом. Для этого необходимо анализировать базовую телеметрию по всем уровням безопасности.
Благодаря телеметрии в оповещениях XDR учитывается вся активность, на которую стоит обратить внимание для выявления подозрительных или вредоносных действий. Например, активность Microsoft PowerShell сама по себе может не отразиться в оповещениях SIEM, но XDR может оценить и соотнести активности на нескольких уровнях безопасности, включая конечное устройство.
Обрабатывая телеметрию с помощью моделей обнаружения, платформа XDR лучше выявляет угрозы и уменьшает количество оповещений, пересылаемых системе SIEM. Поскольку оповещения при этом более информативны, аналитикам по безопасности проще работать с ними.
Как телеметрия XDR работает с ИИ и машинным обучением?
Платформы XDR на базе ИИ могут анализировать огромные потоки телеметрических данных в реальном времени, обнаруживая едва заметные паттерны и аномалии, которые традиционные методы могут упустить из виду. Возможность быстро распознавать паттерны позволяет точнее выявлять риски и сложные угрозы, включая уязвимости нулевого дня и горизонтальное перемещение по сетям.
Машинное обучение постоянно учится на последних аналитических данных об угрозах и адаптируется к новым тактикам атак. Благодаря более точной идентификации угроз команды SOC получают меньше ложноположительных оповещений и уделяют время тому, что требует их безотлагательного внимания. Благодаря автоматизированной корреляции данных между конечными точками, сетями и облачными средами, эта комбинация ИИ и машинного обучения поможет эффективно устранять узкие места, оптимизировать операции безопасности и ускорять реагирование на инциденты.
С какими проблемами связана телеметрия XDR?
При неправильной консолидации и приоритизации огромный объем и разнообразие телеметрических данных, собранных из конечных точек, сетей, облачных сред и приложений, могут привести к информационной перегрузке. Анализируя и сортируя этот непрерывный поток, специалисты по безопасности устают от оповещений, пропускают угрозы и не успевают заниматься другими важными задачами. Интеграция телеметрии в разрозненные системы также требует надежной совместимости, но технические различия и проприетарные форматы часто препятствуют агрегации.
Еще одной проблемой является налаживание доступа к точным и релевантным данным в реальном времени. Неполная или непоследовательная телеметрия мешает работе моделей обнаружения, выдает ложноположительные результаты или не помогает команде SOC обнаруживать скрытые или едва заметные паттерны атаки. Кроме того, необходимо соблюдать требования конфиденциальности и безопасности, особенно в таких отраслях, как правительство, финансы и здравоохранение.
Для эффективного развертывания аналитики на базе ИИ в платформах XDR требуются хорошо обученные модели, которые могут быть заблокированы новыми угрозами и состязательными методами. Наконец, обслуживание, настройка и масштабирование решений XDR могут требовать больших ресурсов, что особенно проблематично для организаций с ограниченным бюджетом или нехваткой нужных специалистов.
Как Trend Micro работает с телеметрией XDR?
Подход Trend к телеметрии XDR создан для следующего поколения SOC. Благодаря интеграции телеметрии из конечных точек, сетей, электронной почты и облачных рабочих нагрузок сопоставляются данные на разных уровнях безопасности, в результате разрозненная информация превращается в полезную аналитику и ускоряет реагирование. Мощные технологии агентского ИИ, машинного обучения и автоматизации позволяют обнаруживать риски в реальном времени, включая уязвимости нулевого дня и горизонтальные перемещения по сети, которые традиционные инструменты могут пропустить. Автоматизированная корреляция и контекстуальная оценка рисков приоритизируют угрозы, позволяя командам по безопасности реагировать быстрее и точнее. Такой подход помогает определить приоритеты взаимодействия, чтобы обеспечить бесшовную интеграцию с различными средами и сторонними решениями.
На должности вице-президента по управлению продуктами в Trend Micro Джо Ли руководит глобальной стратегией и разработкой продуктов в сфере корпоративных решений для электронной почты и сетевой безопасности.
Статьи по теме
Отчет о киберрисках Trend за 2025 год
От события к анализу: сценарий компрометации деловой корреспонденции (BEC)
Понимание начальных этапов угроз, связанных с веб-шеллами и VPN: анализ MXDR
The Forrester Wave™: корпоративные платформы обнаружения и реагирования, II кв. 2024 г.
Пришло время повысить уровень решения EDR
Бесшумная угроза: EDRSilencer, инструмент для имитации атак, подрывает надежность решений по безопасности конечных точек
Модернизация федеральной стратегии кибербезопасности с помощью FedRAMP
Лидер Gartner® Magic Quadrant™ в категории платформ для защиты конечных точек в 2025 году