XDR（擴展式偵測與回應）監測指從保安層及方案收集資料，包括電郵、用戶端、伺服器、雲端工作負載及網絡的資料。XDR 平台整合及檢查活動以偵測及搜尋已知及未知威脅，並協助進行根本原因分析。
目錄
了解 XDR 監測數據
XDR 監測數據為保安運作中心團隊提供可行的啟示，並整合在數碼環境的實時數據中。這是一個關鍵任務組件，包括減少受攻擊面及主動風險管理，協助保安運作中心搜集及關聯數據以辨識、優先處理及減低威脅。這亦可讓您打破數據壁壘，確保更快、更明智的風險識別及回應措施。
隨著時間推移，XDR 監測數據已從簡單的事件記錄演變為精密的實時分析。早期方法收集了基本的警告啟示，但這不足以領先黑客，並真正掌控風險。自此，監測功能已擴展至透過 JA3 為 Transport Layer Security （TLS） 用戶端考慮行為數據、流量模式、更改配置，甚至加密指紋。
人工智能、機器學習及自動化在利用 XDR 監測數據的主動保安策略中扮演重要角色，為保安運作中心團隊提供充足環境以加快回應速度。
按保安層劃分的監測類型
網絡保安平台、方案及功能可收集各種事件的數據。這些數量和複雜性因相關機構而異，因此擁有個性化的集中式平台有助於快速分析和優先排序。保安運作中心團隊整合 XDR 監測數據，並將其引入一個安全的中心以簡化存取，無須採用孤立的單點式方案。這樣他們就能根據緊急狀況、減低警示超載及減低資源負擔來組織及處理保安事件。
事件數據包括從用戶存取的檔案資料到裝置上的登錄改動等一切資訊。一些分類例子包括：
網絡事故
- 傳輸流量模式
- 周邊及橫向連繫
- 可疑的流量行為
- 透過 JA3 為前稱為 Secure Sockets Layer（SSL）的 TLS 進行指紋辨識
雲端工作負載
- 變更配置
- 新增或變更的事件
- 用戶帳號活動
- 程序
- 執行的指令
- 網絡連線
- 建立或存取的檔案
- 修改註冊
電郵
- 外部及內部電郵訊息的元數據
- 附件源數據
- 外部連結
- 用戶活動，例如登入
用戶端
- 運作程序
- 執行的指令
- 網絡連線
- 建立或存取的檔案
- 更改目錄
監測在 XDR 效能中的角色
XDR 平台的區別在於所收集的資料類型及使用方式。
XDR 平台主要以其原生保安架構為基礎，擁有更深入的數據了解。因此該平台就可以精準地取得能讓數據分析模型最佳化的資料，進而實現關聯偵測、深入調查以及威脅追蹤能力。
主要從第三方產品中提取數據的供應商往往缺乏充分的背景，僅能掃過表層。它們可能缺少完全了解機構所面對的風險及威脅所需的監測類型及深度。即使經常使用監測數據、元數據及 NetFlow，但警示數據可能因缺乏活動詳情而未能有效進行分析及提供啟示。了解監測的結構和儲存至關重要，因為它會影響數據的獲取、查詢和用於活動分析。
以網絡數據為例，圖表數據庫可以非常高效，而對於用戶端數據而言，像 Elasticsearch 這樣的開放搜尋和分析引擎則非常合適。擁有各種數據池架構有助偵測、關聯及搜尋，但只限於透過集中式 XDR 平台互相對話。
有效率 XDR 監測的主要特色及優點
全面了解您整個環境的數據
XDR 平台從全面數碼環境收集監測數據，為保安運作中心團隊提供清晰、全面及完整的保安事件視野。就如之前一樣，現代 XDR 監測數據超越傳統記錄及警報，包括活動數據、網絡流量、程序執行及行為指標。
自動化資料關聯及分析
進階偵測模型即時分析及關聯不同數據來源。這有助您找出所有保安層面的攻擊模式、可疑行為及其他風險元素。透過利用這些啟示，您可以對回應行動充滿信心，並透過最新的數據分析進行優先排序及提供資訊。
互通性及靈活架構
最有效及主動的 XDR 監測方案與已確立的數據庫、數據池及分析引擎無縫整合。它們亦支援針對不同活動數據類型而度身訂造的高效及簡化儲存、查詢及分析。
人工智能及機器學習整合
現代化 XDR 利用人工智能及機器學習的力量即時分析監測數據流。模型會不斷適應最新的威脅、攻擊方法及風險類型，以幫助您跟上對手的步伐，並了解他們的下一步行動。預測性分析有助於在資料外洩發生前偵測可疑行為並加以解決。換言之，沒有甚麼是可以把握的。這些強大的整合技術一直在學習和適應。
XDR 監測資料與 SIEM 警報的分別
傳統的 SIEM 能有效整合記錄及警報，但連繫多個與同一事故有關的警報卻效率不高。這需要在跨保安層面的根測數據層面進行分析。
透過監測資料，XDR 警報不單考慮警示資訊，亦包括其他關鍵活動以辨識可疑及惡意行動。例如，Microsoft PowerShell 活動本身可能不會產生 SIEM 警報，但 XDR 可以評估及關聯多個保安層面的活動，包括用戶端。
XDR 平台透過在已收集的監測數據上運行偵測模型，識別及向 SIEM 發送更少、更可信的警報，減低保安分析師所需的分析數量。
XDR 監測數據如何與人工智能及機器學習配合運作？
人工智能 XDR 平台可實時分析大量監測數據流，辨識傳統方法可能忽略及難以察覺的模式及異常情況。快速識別病毒碼的能力能更準確地偵測風險及精密威脅，包括零時差漏洞及網絡內橫向移動。
與此同時，機器學習會不斷從最新的威脅分析中學習，並因應不斷演變的攻擊策略作出調整。這讓威脅識別變得更精準，協助保安運作中心團隊減少誤判，並專注於最需要緊急關注的事項，而不會造成超負荷。透過自動化用戶端、網絡及雲端環境數據的關聯，人工智能及機器學習的結合是消除瓶頸、簡化保安運作及加速事故回應所需的一環。
XDR 監測數據的挑戰是甚麼？
如果未能正確整合及排列優先次序，從用戶端、網絡、雲端環境及應用程式收集的監測數據量及多樣性可能引致資料超載。保安團隊可能難以分析及優先處理持續的流量，造成額外風險，例如錯過威脅、資源緊張或警報疲勞。將監測數據整合到不同的系統也需要強大的互通性，但技術壁壘和專有格式通常會阻礙無縫的聚合。
持續存取準確、實時及相關的數據是另一個挑戰。不完整或不一致的監測會破壞偵測模式，產生誤判或導致保安運作中心團隊忽略隱藏或細微的攻擊模式。還需要保持私隱和安全合規，尤其是在政府、金融和醫療保健等環境。
此外，在 XDR 平台內有效部署人工智能驅動的分析，亦依賴訓練有素的模型，而這些模型可以通過不斷演變的威脅及逆向技術加以修飾。最後，維持、調整及擴展 XDR 方案的運作負擔會令資源變得緊張，尤其是對於專業或預算有限的機構。
趨勢科技採用甚麼方式來偵測 XDR 監測數據？
趨勢科技的 XDR 監測方案專為新一代保安運作中心而設。透過整合來自用戶端、網絡、電郵及雲端工作負載的監測數據，關聯不同保安層面的數據，將數據壁壘化為可採取行動的啟示，同時加快回應速度。強大的代理式人工智能、機器學習及自動化技術讓您實時偵測風險，包括傳統工具可能錯過的零時差漏洞及橫向移動。自動化關聯及情境風險評估優先處理最關鍵的威脅，讓保安團隊更快及更準確地回應。這種方法還幫助您優先處理互通性，確保與各種環境和第三方解決方案的順暢整合。
李兆熙是趨勢科技產品管理副總裁，負責領導企業電郵與網絡資訊保安方案的全球策略與產品開發。