XDR - wykrywanie zagrożeń w całym środowisku IT

‍

Współczesna infrastruktura IT generuje informacje o bezpieczeństwie w wielu niezależnych systemach.
Endpointy, urządzenia sieciowe, zapory, poczta elektroniczna, środowiska chmurowe, aplikacje SaaS oraz systemy zarządzania tożsamością rejestrują tysiące zdarzeń każdego dnia.

Pojedyncze zdarzenie często nie daje wystarczającego kontekstu. Dopiero zestawienie informacji z różnych źródeł może pokazać, że pozornie niezależne działania są elementami tego samego incydentu.

XDR (Extended Detection and Response) umożliwia korelację tych danych i analizę zdarzeń w szerszym kontekście całej infrastruktury.

XDR pozwala powiązać ze sobą zdarzenia pochodzące z różnych systemów i sprawdzić, czy tworzą jeden ciąg zdarzeń wymagający reakcji.

W squareTec projektujemy i wdrażamy rozwiązania XDR dopasowane do istniejącej architektury bezpieczeństwa. Integrujemy technologie różnych producentów, źródła danych oraz systemy wykorzystywane przez zespoły bezpieczeństwa.

Jak działa XDR?

XDR łączy dane z wielu systemów bezpieczeństwa, a następnie wykorzystuje je do identyfikacji zależności pomiędzy zdarzeniami. Proces można podzielić na kilka etapów.

W zależności od środowiska źródłami danych dla XDR mogą być:

endpointy → serwery → firewalle → sieć → poczta → chmura i SaaS → IAM → systemy bezpieczeństwa → SIEM/SOAR → threat intelligence

Zbieranie danych z systemów bezpieczeństwa

Źródłem danych mogą być endpointy, serwery, firewalle, urządzenia sieciowe, systemy IAM, poczta elektroniczna, środowiska chmurowe i aplikacje SaaS.

Zakres integracji zależy od architektury organizacji oraz technologii, które mają zostać objęte monitoringiem.

Korelacja zdarzeń i analiza zagrożeń

XDR zestawia informacje pochodzące z różnych źródeł. Dzięki temu możliwe jest wykrywanie zależności pomiędzy zdarzeniami, które analizowane osobno mogłyby nie wskazywać na istotne zagrożenie.

Przykładowo aktywność użytkownika, nietypowe zachowanie endpointu oraz komunikacja z określonym adresem sieciowym mogą zostać przeanalizowane jako elementy jednego incydentu.

W praktyce pozwala to szybciej ustalić, które urządzenie, konto lub fragment infrastruktury może być objęty incydentem i jakie działania należy podjąć.

Priorytetyzacja incydentów

Nie każde zdarzenie wymaga takiej samej reakcji. XDR pomaga uporządkować alerty i wskazać te, które wymagają dalszej analizy lub działania.

Dla zespołów SOC oznacza to możliwość skoncentrowania pracy analityków na zdarzeniach o większym znaczeniu.

Reakcja na zagrożenia

Po wykryciu i analizie incydentu XDR może uruchomić określone działania automatyczne lub przekazać zdarzenie do dalszej obsługi przez SOC.

W zależności od architektury mogą to być np. izolacja urządzenia, blokada określonej aktywności, uruchomienie playbooka SOAR lub przekazanie informacji do innych systemów bezpieczeństwa.

‍

XDR a SIEM – różnice i zastosowanie

XDR i SIEM mogą pełnić różne, uzupełniające funkcje w architekturze cyberbezpieczeństwa.

SIEM koncentruje się na centralnym zbieraniu, przechowywaniu i analizie logów oraz zdarzeń pochodzących z wielu systemów. Jest wykorzystywany m.in. do monitorowania środowiska, analizy zdarzeń, raportowania i wspierania procesów bezpieczeństwa.

XDR koncentruje się na wykrywaniu, korelacji, analizie i reagowaniu na zagrożenia na podstawie danych z różnych warstw infrastruktury.

W praktyce XDR nie musi zastępować SIEM. Oba rozwiązania mogą współpracować w ramach jednej architektury bezpieczeństwa.

squareTec integruje XDR z istniejącymi platformami SIEM i SOAR, uwzględniając sposób pracy zespołów bezpieczeństwa oraz wymagania konkretnego środowiska.

‍

XDR w dużych organizacjach i sektorze publicznym

W dużych organizacjach bezpieczeństwo IT jest rozproszone pomiędzy wiele zespołów, systemów i lokalizacji.

Architektura XDR musi w takich środowiskach uwzględniać istniejące systemy, różne źródła danych, podział odpowiedzialności oraz wymagania dotyczące dostępu do informacji.

Istotne mogą być również:

• środowiska hybrydowe i wielolokalizacyjne,
• ograniczona lub kontrolowana łączność,
• systemy o różnym poziomie krytyczności,
• rozbudowane struktury uprawnień,
• wymagania dotyczące audytu i śledzenia zdarzeń,
• integracja z istniejącym SOC,
• współpraca zespołów IT i bezpieczeństwa.

W praktyce oznacza to konieczność uwzględnienia nie tylko samej platformy XDR, ale również sposobu pozyskiwania danych, istniejących systemów bezpieczeństwa, uprawnień oraz procedur reagowania na incydenty.

‍

XDR dla środowisk IT, OT i infrastruktury krytycznej

W organizacjach posiadających środowiska OT, systemy przemysłowe lub infrastrukturę krytyczną monitoring bezpieczeństwa nie może być ograniczony wyłącznie do komputerów użytkowników i serwerów.

Źródłem informacji o potencjalnym incydencie mogą być również urządzenia sieciowe, systemy przemysłowe, systemy zarządzania i inne elementy infrastruktury technicznej.

W takich środowiskach integracja danych wymaga uwzględnienia specyfiki systemów OT, ich dostępności, sposobu komunikacji oraz wymagań dotyczących ciągłości działania.

squareTec łączy kompetencje w zakresie cyberbezpieczeństwa, infrastruktury IT oraz integracji systemów technicznych. Pozwala to projektować architekturę bezpieczeństwa z uwzględnieniem zależności pomiędzy środowiskiem IT, OT i pozostałą infrastrukturą organizacji.

‍

Wdrożenie XDR - jak squareTec projektuje i integruje rozwiązanie?

Wdrożenie XDR zaczynamy od analizy istniejącego środowiska, źródeł danych i sposobu obsługi incydentów. Na tej podstawie określamy architekturę rozwiązania oraz zakres integracji z istniejącymi systemami.

Analiza środowiska i źródeł danych

Identyfikujemy systemy, źródła telemetryczne, istniejące mechanizmy ochrony oraz sposób obsługi incydentów. Sprawdzamy również, jakie dane są już dostępne i gdzie występują ograniczenia w ich wykorzystaniu.

Projekt architektury XDR

Określamy zakres rozwiązania, źródła danych, sposób ich przepływu oraz zależności z pozostałymi elementami architektury bezpieczeństwa.

Projekt uwzględnia istniejące środowisko klienta oraz wymagania dotyczące bezpieczeństwa, dostępności i zarządzania infrastrukturą.

Integracja z istniejącymi systemami bezpieczeństwa

Łączymy XDR z wykorzystywanymi przez organizację technologiami i systemami bezpieczeństwa. W zależności od środowiska mogą to być endpointy, firewalle, systemy IAM, rozwiązania chmurowe, SIEM, SOAR czy źródła threat intelligence.

Konfiguracja detekcji i reakcji

Dostosowujemy mechanizmy wykrywania, korelacji i obsługi incydentów do charakterystyki środowiska. Określamy również, które działania mogą być wykonywane automatycznie, a które wymagają decyzji operatora.

Integracja z SOC, SIEM i SOAR

XDR włączamy w istniejący model operacyjny bezpieczeństwa. Uwzględniamy sposób pracy analityków, przepływ informacji oraz procedury obsługi incydentów.

W projektach squareTec wykorzystujemy technologie różnych producentów, w tym rozwiązania Palo Alto Networks, Microsoft, IBM i Cisco.

Dzięki temu możemy dopasować sposób wdrożenia do istniejącej infrastruktury, zamiast budować osobne środowisko bezpieczeństwa niezależne od pozostałych systemów organizacji.

‍

XDR jako element architektury cyberbezpieczeństwa

XDR może stanowić jeden z elementów szerszej architektury bezpieczeństwa obejmującej ochronę endpointów, sieci, tożsamości, środowisk chmurowych oraz systemów operacyjnych.

W dojrzałym środowisku bezpieczeństwa XDR współpracuje z rozwiązaniami takimi jak SIEM, SOAR, IAM, EDR oraz systemami threat intelligence. Pozwala to połączyć dane o zdarzeniach z mechanizmami analizy i reakcji oraz włączyć je w procesy realizowane przez zespoły bezpieczeństwa.

squareTec projektuje takie środowiska z uwzględnieniem istniejącej infrastruktury, technologii różnych producentów oraz wymagań operacyjnych organizacji. Kompetencje integracyjne pozwalają nam łączyć warstwę cyberbezpieczeństwa z pozostałymi elementami infrastruktury IT i OT.