Технология XDR была разработана как усовершенствование EDR. Сама концепция EDR была разработана на основе реальной потребности рынка: продукт, который помог бы обнаруживать сложные атаки, анализируя исторические данные об активности конечных точек и затем удалённо реагировать на них. Способность продуктов EDR моделировать конечную точку с помощью телеметрии на машинном уровне стала ключевой технологией, лежащей в основе этой идеи.
Идея XDR заключалась в том, чтобы распространить ту же концепцию на несколько источников данных, таких как сеть, электронная почта, облачная инфраструктура и т. д., чтобы добавить больше контекста к оповещениям для выявления атак.
Различные подходы
В этот момент возникло расхождение в подходах к XDR, которых придерживаются два разных лагеря продуктов – Endpoint Protection Платформа поставщики и поставщики SIEM, в основном, руководствуются потребностями бизнеса.
Традиционно SIEM-системы использовались для хранения журналов и проведения криминалистического анализа. Однако, когда появилась возможность внедрения XDR , поставщики SIEM-систем захотели создать собственную систему. Они представили Open XDR, в которой поверх озера данных SIEM был интегрирован слой аналитики и реагирования. Эта концепция помогла поставщикам SIEM-систем повторно использовать архитектуру коннекторов, хранилище и эффективность поиска для перекрестных продаж XDR.
Тем временем поставщики Endpoint Platform продолжили развивать концепцию EDR+, в рамках которой аналитические возможности и средства реагирования на основе MITRE Tactics и Technics, разработанные для EDR, были расширены для включения большего количества источников данных.
Оба лагеря рекламировали свою продукцию как лучшую XDR. Однако покупатель остался недоволен.
Пока поставщики XDR боролись, конечные клиенты начали понимать, что XDR как продукт приносит им лишь незначительную пользу. Это было связано с тем, что работа с XDR требовала высокого уровня знаний в области обнаружения угроз, а нехватка квалифицированных сотрудников не позволяла анализировать поток генерируемых им оповещений. Кроме того, поскольку XDR не был предназначен для реагирования в режиме реального времени, он был практически неэффективен в ситуациях, требующих быстрого реагирования, таких как атаки программ-вымогателей. Крупные центры безопасности могли использовать хранилище XDR и возможности поиска по истории, но для большинства руководителей служб информационной безопасности (CISO) XDR превращался в ещё одну дорогостоящую головную боль.
Осознав эту проблему несколько лет назад, некоторые поставщики XDR начали отходить от преобладающей бизнес-фокусировки к основным проблемным вопросам, и сейчас начал появляться новый XDR.
Новый XDR
В то время как «старый» XDR был сосредоточен на сборе и хранении исторических данных телеметрии и оповещений об объектах, возлагая большую часть ответственности на аналитиков за сортировку, подтверждение и реагирование на кибератаки, новый XDR представил автоматизированное реагирование в режиме реального времени в качестве своего основного обещания ценности.
XDR должен генерировать тысячи оповещений о любых IOC на основе MITRE/алгоритма, обнаруженных в данных конечной точки/сети, при малейшем намёке на компрометацию. Обработка этих оповещений — обременительная ручная работа. Однако машинное обучение и искусственный интеллект (ИИ) готовы помочь. Машинное обучение может использоваться для поиска аномалий и ранее применялось в посткризисных ситуациях. Однако это приводит к увеличению уровня шума. Ключевой задачей было найти способы сузить область оповещения и использовать высокоэффективные списки надежных решений для дальнейшего снижения уровня шума.
В результате возникает модель XDR, в которой аномалии, специфичные для сущностей, обнаруживаются и классифицируются на основе их характеристик. Точность сообщаемых аномалий дополнительно повышается благодаря различным методам составления списков на основе искусственного интеллекта, что приводит к созданию высокоточной системы оповещения. Эта система автоматически реагирует на индикаторы угроз в режиме реального времени на уровне сущностей и может непрерывно корректировать свою реакцию на основе сигналов окружающей среды. Только те оповещения, которые требуют временной корреляции, будут пересылаться в централизованное хранилище по дополнительному пути для более глубокого анализа и реагирования. Это значительно отличается от сегодняшней чрезмерной зависимости от сложных эвристик и обнаружения на основе правил, а также от высоконастроенных моделей машинного обучения. В конечном итоге, такие модели машинного обучения, специфичные для сущностей и атрибутов, будут стандартизированы и опубликованы непосредственно поставщиками приложений и устройств, что снизит нагрузку на поставщиков XDR.
Так кто же выиграл эту битву?
Технология XDR на основе платформы Endpoint Platform, по-видимому, лучше соответствует этому новому направлению, чем общие инициативы SIEM Open XDR, из-за необходимости специфичности данных и алгоритмов для низкого уровня ложноположительных результатов и быстрого реагирования. Однако SIEM также играет критически важную роль. Хотя обнаружение и первоначальное реагирование эффективно решаются новой архитектурой XDR, процесс устранения инцидентов требует гораздо больше контекстной информации на каждом этапе. Поскольку для организации рабочих процессов безопасности используются генеративные модели ИИ и разработка подсказок на основе LLM, SIEM станет хранилищем этих контекстных данных о кибербезопасности. Но давайте оставим это обсуждение для будущей публикации!
