Il settore della sicurezza informatica si caratterizza per l’utilizzo di un gergo particolare, abbreviazioni ed acronimi. Man mano che i vettori di attacco si moltiplicano, dagli endpoint alle reti, al cloud, molte aziende si stanno approcciando a nuove modalità per contrastare le minacce avanzate: Extended Detection and Response, dando origine a un altro acronimo, XDR.
Mentre XDR ha guadagnato molto campo quest'anno dai leader del settore e dalla comunità di analisti, XDR è ancora un concetto in evoluzione e, come tale, c'è confusione sull'argomento.
- Cos’è XDR?
- In che modo XDR differisce da EDR?
- È lo stesso di SIEM & SOAR?
In questo articolo, SentinelOne, in qualità di leader nel mercato EDR e pioniere nella tecnologia XDR emergente, mira a chiarire alcune domande comuni sul concetto di XDR e le differenze rispetto a EDR, SIEM e SOAR.
Che cos'è l'EDR?
L’EDR fornisce all'organizzazione la capacità di monitorare gli endpoint per comportamenti sospetti e registrare ogni singola attività ed evento.
Quindi correla le informazioni per fornire un contesto critico per acquisire le attività reali e infine esegue risposte automatizzate come l'isolamento di un endpoint infetto dalla rete quasi in tempo reale.
Che cos'è XDR?
XDR è l'evoluzione di EDR, Endpoint Detection and Response. Mentre l’EDR raccoglie e correla le attività su più endpoint, XDR amplia l'ambito del rilevamento oltre gli endpoint per fornire rilevamento, analisi e risposta su endpoint, reti, server, carichi di lavoro cloud, SIEM e molto altro.
Ciò fornisce una vista unificata su più strumenti e vettori di attacco. Tale visibilità migliorata fornisce il contesto completo delle minacce per ottimizzare il triage, l'indagine e gli sforzi di riparazione rapida.
XDR raccoglie e correla automaticamente i dati su più vettori di sicurezza, facilitando il rilevamento più rapido delle minacce in modo che gli analisti della sicurezza possano rispondere rapidamente prima che la minaccia si propaghi all’interno della rete.
Integrazioni out-of-the-box e meccanismi di rilevamento pre-sintonizzati su più prodotti e piattaforme aiutano a migliorare la produttività, il rilevamento delle minacce e l'analisi forense.
“In breve, XDR si estende oltre l'endpoint per prendere decisioni in base ai dati di più prodotti e può agire attraverso il tuo stack agendo su e-mail, rete, identità e altro.”
In che Modo XDR è Diverso da SIEM?
Quando parliamo di XDR, alcune persone pensano che stiamo descrivendo uno strumento di Security Information & Event Management (SIEM) in un modo diverso. Ma XDR e SIEM sono due approcci differenti.
SIEM raccoglie, aggrega, analizza e archivia grandi volumi di dati da tutta l'azienda. SIEM ha iniziato il suo sviluppo con un approccio molto ampio: raccogliere dati di log ed eventi disponibili da quasi tutte le fonti dell'azienda per essere archiviati per diversi casi d'uso.
Questi includono governance e conformità, corrispondenza di modelli basati su regole, rilevamento euristico/comportamentale delle minacce come UEBA e ricerca attraverso fonti di telemetria per IOC o indicatori atomici.
Gli strumenti SIEM, tuttavia, richiedono una messa a punto e sforzi per essere implementati. Può capitare che i team di sicurezza siano sopraffatti dal numero di avvisi che provengono da un SIEM, facendo sì che il SOC ignori gli avvisi critici.
Inoltre, anche se un SIEM acquisisce dati da dozzine di sorgenti e sensori, è ancora uno strumento analitico passivo che genera avvisi.
La piattaforma XDR mira a risolvere le sfide dello strumento SIEM per il rilevamento e la risposta efficaci agli attacchi mirati e include analisi del comportamento, threat intelligence, profilazione del comportamento e analisi.
In che Modo XDR è Diverso da SOAR?
Le piattaforme di Security Orchestration & Automated Response (SOAR) sono utilizzate dai team di security operation maturi per costruire ed eseguire playbook a più fasi che automatizzano le azioni attraverso un ecosistema di soluzioni di sicurezza connesso tramite API.
Al contrario, XDR consente le integrazioni dell'ecosistema tramite Marketplace e fornisce meccanismi per automatizzare semplici azioni contro i controlli di sicurezza di terze parti.
SOAR è complesso, costoso e richiede un SOC altamente maturo per implementare e mantenere le integrazioni e i playbook dei partner. XDR è pensato per essere "SOAR-lite": una soluzione semplice, intuitiva e senza codice che fornisce l'agibilità dalla piattaforma XDR agli strumenti di sicurezza connessi.
Che cos'è MXDR?
Managed Extended Detection and Response (MXDR) estende i servizi MDR a tutta l'azienda per ottenere una soluzione completamente gestita che include analisi e operazioni di sicurezza, ricerca avanzata delle minacce, rilevamento e risposta rapida su endpoint, rete e ambienti cloud.
Un servizio MXDR aumenta le capacità XDR del cliente con servizi MDR per ulteriori funzionalità di monitoraggio, indagini, threat hunting e risposta.
Perché XDR sta Prendendo Campo e Generando Curiosità?
XDR sostituisce la sicurezza in silos e aiuta le organizzazioni ad affrontare le sfide della sicurezza informatica da un punto di vista unificato.
XDR fornisce maggiore visibilità e contesto sulle minacce; incidenti che altrimenti non sarebbero stati risolti prima emergono con un livello di consapevolezza più elevato, consentendo ai team di sicurezza di rimediare e ridurre qualsiasi ulteriore impatto e minimizzando la portata dell'attacco.
Un tipico attacco Ransomware attraversa la rete, atterra in una casella di posta elettronica e quindi attacca l'endpoint. Affrontare la sicurezza esaminando ciascuno di essi in modo indipendente mette le organizzazioni in una posizione di svantaggio.
XDR integra controlli di sicurezza disparati per fornire azioni di risposta automatizzate o con un clic nell'ambito della sicurezza aziendale, come disabilitare l'accesso degli utenti, forzare l'autenticazione a più fattori in caso di sospetta compromissione dell'account, bloccare i domini in entrata e gli hash dei file e altro ancora, il tutto tramite regole personalizzate scritte dall'utente o dalla logica incorporata nel motore di risposta prescrittiva.
Con un unico pool di dati grezzi che comprende informazioni provenienti dall'intero ecosistema, XDR consente un rilevamento e una risposta alle minacce più rapidi, approfonditi ed efficaci rispetto a EDR, raccogliendo e confrontando dati da una gamma più ampia di fonti.
Tale visibilità completa porta a numerosi vantaggi, tra cui:
- Riduzione del tempo medio di rilevamento (MTTD) tramite la correlazione tra le fonti di dati;
- Riduzione del tempo medio di indagine (MTTI) accelerando il triage e riducendo il tempo per l'indagine e l'ambito;
- Riduzione del tempo medio di risposta (MTTR) consentendo un'automazione semplice, veloce e pertinente;
- Miglioramento della visibilità sull'intera area di sicurezza.
Inoltre, grazie all'intelligenza artificiale e all'automazione, XDR aiuta a ridurre l'onere del lavoro manuale degli analisti della sicurezza.
Una soluzione XDR può rilevare in modo proattivo e rapido minacce sofisticate, aumentando la produttività del team di sicurezza o SOC e portando ad un aumento del ROI per l'organizzazione.
In Conclusione
Navigare nel panorama dei fornitori è impegnativo per molte aziende, in particolare quando si esaminano le soluzioni di rilevamento e risposta. Spesso l'ostacolo più grande è capire cosa offre ciascuna soluzione, soprattutto quando le terminologie variano da fornitore a fornitore e possono significare cose diverse.
Come con qualsiasi nuova tecnologia che entra nel mercato, c'è molto clamore e gli acquirenti devono essere saggi. La realtà è che non tutte le soluzioni XDR sono uguali.
SentinelOne Singularity XDR unifica ed estende le capacità di rilevamento e risposta su più livelli di sicurezza, fornendo ai team di sicurezza visibilità aziendale end-to-end centralizzata, analisi potenti e risposta automatizzata su tutto lo stack tecnologico.
Se vuoi avere maggiori informazioni riguardo la piattaforma SentinelOne Singularity XDR invia una mail a cio@florence-consulting.it, chiama lo (055) 538-3250, oppure compila il form sottostante.