Kad uzņēmums iegādājas kiberdrošības risinājumu, parasti dzird trīs saīsinājumus: EDR, XDR un MDR. Pārdevēji tos lieto tā, it kā tie būtu pašsaprotami, un uzņēmuma vadītājam vai finanšu direktoram paliek jautājums: vai vajadzīgi visi trīs vai pietiek ar vienu, un kā tas atšķiras no antivīrusa, par kuru jau maksājam?
Jautājums svarīgs ne tikai tehnisku iemeslu dēļ. NIS2 un DORA prasa uzņēmumiem ne tikai nodrošināt aizsardzību, bet arī pierādīt, ka incidenti tiek atklāti un uz tiem tiek reaģēts. Uzstādīta programma to nepierāda. Kādam jāseko līdzi tam, ko tā rāda, un jāreaģē, kad tā rāda sarkano.
Šajā rakstā izskaidrojam, ko katrs saīsinājums patiesībā nozīmē, kur beidzas viena risinājuma iespējas un sākas nākamā, un kā izvēlēties uzņēmumam ar aptuveni 50 darbiniekiem, kuram nav savas drošības komandas.
Antivīruss un EDR nav viens un tas pats
Klasisks antivīruss salīdzina failus ar zināmas ļaunprogrammatūras parakstiem un bloķē to, ko atpazīst. Tas darbojas pret masveidā izplatītiem, sen zināmiem draudiem. Tas vairs nedarbojas pret uzbrucējiem, kas izmanto likumīgus sistēmas rīkus, piemēram, PowerShell, attālās administrēšanas programmatūru un parastus administratoru skriptus, un neatstāj failu, ko varētu atpazīt pēc paraksta.
EDR (Endpoint Detection and Response) skatās nevis uz failiem, bet uz uzvedību. Aģents darba stacijā vai serverī reģistrē procesus, tīkla savienojumus un reģistra izmaiņas un meklē aizdomīgas secības: piemēram, Word dokuments palaiž komandrindu, kas lejupielādē failu un mēģina atslēgt rezerves kopijas. Katrs solis atsevišķi izskatās nevainīgs, bet to secība – nē.
Otra svarīga EDR daļa ir reaģēšana. Konsolē var izolēt datoru no tīkla, apturēt procesu, atritināt mainītos failus un redzēt visu notikumu ķēdi: kur tas sākās un kas tika skarts. Antivīruss to nerāda, tas tikai ziņo „atklāts un izdzēsts”.
Praktiskās sekas: EDR rada daudz vairāk informācijas nekā antivīruss. Ja šo informāciju neviens nelasa, EDR kļūst par vienkārši dārgāku antivīrusu.
XDR: kad ar vienu ierīci nepietiek
XDR (Extended Detection and Response) paplašina to pašu principu ārpus darba stacijas. Dati no e-pasta, identitātes sistēmas (piemēram, Microsoft Entra ID), tīkla ierīcēm, mākoņpakalpojumiem un serveriem tiek apvienoti vienā skatā.
Kāpēc tas ir svarīgi? Tipisks mūsdienu incidents nesākas datorā. Vispirms darbinieks saņem e-pastu, tad ievada paroli viltotā pieteikšanās lapā, tad uzbrucējs piesakās Microsoft 365 no citas valsts, un tikai pēc dažām dienām kaut kas parādās darba stacijā. EDR redz tikai pēdējo soli. XDR savieno visus četrus vienā notikumā un parāda, ka tas ir viens uzbrukums, nevis četri nesaistīti brīdinājumi.
Bitdefender GravityZone, SentinelOne un CrowdStrike šodien visi piedāvā XDR slāni kā EDR paplašinājumu. Atšķirība starp tiem ir tā, kurus avotus tie pieslēdz bez papildu darba un cik daudz konfigurēšanas nepieciešams. Par izvēli starp šīm trim platformām rakstām atsevišķā rakstā.
Svarīgs niansējums: XDR informācijas plūsmu palielina vēl vairāk. Jo vairāk avotu, jo vairāk korelāciju un jo vairāk brīdinājumu, ko kādam jānovērtē.
MDR: cilvēki, kas uzrauga visu diennakti
MDR (Managed Detection and Response) nav tehnoloģija, bet pakalpojums. Sniedzēja drošības analītiķu komanda diennakti uzrauga EDR vai XDR platformas brīdinājumus, atšķir reālus incidentus no viltus trauksmēm, reaģē (izolē ierīci, bloķē kontu) un sazinās ar jums tikai tad, kad nepieciešams jūsu lēmums.
Kāpēc tas ir atsevišķs pakalpojums? Tāpēc, ka uzbrucēji strādā naktī un brīvdienās, tieši tad, kad jūsu IT speciālists neskatās konsolē. Izspiedējvīrusu uzbrukumus parasti palaiž piektdienas vakarā, lai līdz pirmdienas rītam tiktu sašifrēts pēc iespējas vairāk. EDR, kas piektdienas vakarā rāda sarkanu brīdinājumu, bet kuru neviens neuzrauga, incidentu neaptur.
MDR var nodrošināt pats platformas ražotājs vai jūsu IT atbalsta partneris, izmantojot ražotāja rīkus. Abi varianti ir saprātīgi; atšķirība ir tajā, cik labi sniedzējs pazīst jūsu vidi. Ražotāja analītiķis redz tikai brīdinājumus; partneris, kas uztur jūsu serverus, zina, ka nakts skripts grāmatvedības serverī nav uzbrukums, bet mēneša noslēgums.
Kā izvēlēties pēc uzņēmuma lieluma un komandas
Izvēli nosaka nevis lielums, bet tas, kas lasīs brīdinājumus un kad. Mūsu pieredzē uzņēmumus var aptuveni sadalīt šādi.
Līdz 20 darbiniekiem, bez IT speciālista
Nepieciešams EDR ar pārvaldītu monitoringu. Jums nav vajadzīga konsole; jums vajag, lai kāds to uzrauga un reaģē. Šeit MDR parasti ir iekļauts IT atbalsta pakalpojumā, nevis tiek pirkts atsevišķi.
No 20 līdz 100 darbiniekiem, viens IT speciālists vai ārējs partneris
Tipisks uzņēmums ar 50 darbiniekiem. IT speciālists ir aizņemts ar ikdienas atbalstu, un viņam nav laika (un bieži vien arī specializācijas) izmeklēt drošības brīdinājumus. Nepieciešams EDR, un, ja lietojat Microsoft 365, XDR ar identitātes un e-pasta signāliem, kā arī partnera MDR. Uzņēmuma speciālists paliek lēmumu pieņēmējs, nevis dežurants.
Vairāk nekā 100 darbinieku vai regulēts bizness
Ja jums ir NIS2 vai DORA pienākumi, XDR kļūst par nepieciešamību, jo jāpierāda, ka incidenti tiek atklāti visā infrastruktūrā, nevis tikai datoros. MDR ar skaidru SLA un incidentu ziņojumiem ir tas, ko uzrādīsiet auditā.
| Jautājums | Antivīruss | EDR | XDR | MDR |
|---|---|---|---|---|
| Bloķē zināmus vīrusus | Jā | Jā | Jā | Jā |
| Redz aizdomīgu uzvedību | Nē | Jā | Jā | Jā |
| Savieno e-pastu, identitāti, serverus | Nē | Nē | Jā | Atkarīgs no platformas |
| Kas reaģē naktī | Neviens | Jūsu IT | Jūsu IT | Sniedzēja analītiķi |
Ko ietver MDP CLOUD apkope
Mūsu IT atbalsta pakalpojumā drošības monitorings nav atsevišķa pozīcija. Katrā darba stacijā un serverī uzstādām EDR vai XDR aģentu (Bitdefender GravityZone, SentinelOne vai CrowdStrike atkarībā no klienta vides), mūsu komanda uzrauga brīdinājumus, un reakcija sākas 30 minūšu laikā.
Konkrēti tas nozīmē:
- aģenta ieviešanu un politiku konfigurēšanu atbilstoši uzņēmuma darba specifikai, lai likumīgas lietojumprogrammas netiktu bloķētas;
- brīdinājumu pārskatīšanu un nošķiršanu no viltus trauksmēm, lai klients saņem tikai to, kam jāpievērš uzmanība;
- ierīces izolēšanu un konta bloķēšanu pēc incidenta apstiprināšanas, vēl pirms mēs piezvanām;
- ikmēneša pārskatu par atklātajiem notikumiem, ko var pievienot NIS2 vai DORA dokumentācijai;
- koordināciju ar rezerves kopijām, lai pēc incidenta būtu no kā atjaunot.
Serveriem tas pats attiecas caur mūsu serveru uzturēšanas pakalpojumu, un mūsu mākoņserveri tiek iznomāti ar jau uzstādītu GravityZone aizsardzību.
No kā sākt
- Pārbaudiet, kas pašlaik ir uzstādīts: antivīruss vai EDR. Ja nezināt, visticamāk, tas ir antivīruss.
- Atbildiet uz jautājumu, kas redzēs brīdinājumu sestdienas naktī plkst. 3. Ja atbilde ir „neviens”, trūkst nevis tehnoloģijas, bet MDR.
- Pierakstiet, kur atrodas jūsu dati: datoros, serveros, Microsoft 365, mākoņpakalpojumos. Ja ne tikai datoros, apsveriet XDR.
- Ja darbojaties regulētā nozarē, pārbaudiet, vai jūsu pašreizējais risinājums sagatavo pārskatus, ko var uzrādīt auditā.
- Sazinieties ar mums. Novērtēsim jūsu pašreizējo vidi un piedāvāsim, kas ir iekļauts IT atbalstā bez papildu maksām, un izvēlēsimies licences Bitdefender GravityZone vai citai platformai pēc jūsu ierīču skaita.
