มีรูปแบบหนึ่งที่เกิดขึ้นซ้ำแล้วซ้ำเล่าในห้องประชุมทุกปี บริษัทถูกโจมตี มัลแวร์เรียกค่าไถ่ทำให้การดำเนินงานหยุดชะงัก หรือแย่กว่านั้น ข้อมูลลูกค้าค่อยๆ หายไปอย่างเงียบๆ เป็นเวลาหลายสัปดาห์ การวิเคราะห์หลังเกิดเหตุเผยให้เห็นความจริงที่น่าอึดอัดใจเหมือนเดิม: ภัยคุกคามนั้นแฝงตัวอยู่ในบันทึกข้อมูลตลอดเวลา รอให้ถูกตรวจพบ แต่ไม่มีใครสังเกตเห็น นั่นไม่ใช่ความล้มเหลวทางเทคโนโลยี แต่เป็นความล้มเหลวในการมองเห็น และนี่คือช่องว่างที่... Managed Detection and Response สร้างขึ้นมาเพื่อปิดตัวลง แต่เรื่องมันซับซ้อนตรงนี้ ตลาดห้องพักรวม (MDR) เติบโตอย่างรวดเร็ว มีหลายสิบแห่งให้เลือก Managed Detection and Response ผู้ให้บริการต่าง ๆ ต่างก็ให้คำมั่นสัญญาว่าจะมีการเฝ้าระวังตลอด 24 ชั่วโมง การตรวจจับภัยคุกคามด้วย AI และการตอบสนองอย่างรวดเร็ว การเลือกผู้ให้บริการที่ไม่เหมาะสมไม่เพียงแต่จะทำให้งบประมาณของคุณหมดไปเท่านั้น แต่ยังทำให้คุณรู้สึกปลอดภัยอย่างผิด ๆ ซึ่งอาจอันตรายกว่าการไม่มีโปรแกรมรักษาความปลอดภัยเลยด้วยซ้ำ
แล้วคุณจะเลือกผู้ให้บริการ MDR ที่เหมาะสมได้อย่างไร? คู่มือนี้จะช่วยคุณเลือกได้ ไม่มีศัพท์เฉพาะทางที่ไม่จำเป็น ไม่มีโฆษณาชวนเชื่อของผู้ขายที่แฝงมาในรูปแบบคำแนะนำ มีเพียงสิ่งที่คุณควรรู้เมื่อต้องตัดสินใจเท่านั้น
MDR คืออะไร และทำไมมันถึงสำคัญ?
Managed Detection and Response เป็นบริการรักษาความปลอดภัยที่ผสานความเชี่ยวชาญของมนุษย์เข้ากับเทคโนโลยี เพื่อตรวจจับ ตรวจสอบ และตอบสนองต่อภัยคุกคามทั่วทั้งสภาพแวดล้อมของคุณ ไม่ว่าจะเป็นอุปกรณ์ปลายทาง คลาวด์ เครือข่าย ข้อมูลประจำตัว และอื่นๆ
แตกต่างจากผู้ให้บริการจัดการความปลอดภัยแบบดั้งเดิม (MSSP) ซึ่งส่วนใหญ่จะส่งการแจ้งเตือนไปยังทีมของคุณแล้วก็จบงาน ผู้ให้บริการ MDR จะลงมือทำอะไรบางอย่างกับการแจ้งเตือนเหล่านั้น พวกเขามีผู้เชี่ยวชาญด้านความปลอดภัยที่ตรวจสอบอย่างละเอียด วิเคราะห์สัญญาณจากแหล่งข้อมูลต่างๆ และดำเนินการ ไม่ว่าจะเป็นการแยกปลายทางที่ถูกบุกรุก การบล็อกกระบวนการที่เป็นอันตราย หรือโทรหาหัวหน้าฝ่ายความปลอดภัยของคุณตอนตี 2 เพราะมีเหตุการณ์ร้ายแรงเกิดขึ้น
ความแตกต่างนี้มีความสำคัญอย่างยิ่ง ความเหนื่อยล้าจากการแจ้งเตือนเป็นปัญหาที่เกิดขึ้นจริงและมีหลักฐานยืนยันมากมาย ทีมรักษาความปลอดภัยขององค์กรโดยเฉลี่ยต้องรับมือกับการแจ้งเตือนนับพันรายการในแต่ละสัปดาห์ สิ่งที่คุณต้องการไม่ใช่เสียงรบกวนเพิ่มเติม คุณต้องการทีมที่สามารถคัดกรองสิ่งเหล่านั้นและบอกคุณได้อย่างแม่นยำว่าอะไรคือสิ่งที่ควรได้รับความสนใจของคุณในขณะนี้
อะไรคือสิ่งที่แยกผู้ให้บริการ MDR ที่ดีออกจากผู้ให้บริการที่ยอดเยี่ยมกันแน่?
ก่อนที่คุณจะส่ง RFP แม้แต่ฉบับเดียว คุณต้องทำความเข้าใจให้ชัดเจนว่าคุณต้องการให้ผู้ขายส่งมอบอะไรบ้าง นี่คือสิ่งที่คุณควรประเมิน และคำถามที่อยู่เบื้องหลังคำถามเหล่านั้น
1. ความสามารถในการตรวจจับ — เจาะลึกกว่าแค่สไลด์นำเสนอ
ผู้จำหน่าย MDR ทุกรายต่างอ้างว่าระบบตรวจจับมีประสิทธิภาพเหนือกว่า สิ่งที่คุณต้องเข้าใจคือ ระบบเหล่านั้นตรวจจับภัยคุกคาม ได้อย่างไรไม่ใช่แค่ว่าสามารถตรวจจับได้ เท่านั้น
สอบถามเกี่ยวกับวิธีการตรวจจับของพวกเขา พวกเขาใช้การตรวจจับแบบอิงลายเซ็นเป็นหลักหรือไม่ เช่น การจับคู่ภัยคุกคามที่รู้จักกับฐานข้อมูล หรือพวกเขาใช้การวิเคราะห์พฤติกรรม สร้างฐานข้อมูลกิจกรรมปกติ และตรวจจับความผิดปกติที่อาจบ่งชี้ถึงการถูกโจมตี แม้ว่าจะไม่มีลายเซ็นที่รู้จักก็ตาม
ผู้ขายที่ดีที่สุดจะใช้วิธีการแบบหลายชั้น: threat intelข้อมูลจาก Ligence, ข้อมูลพื้นฐานด้านพฤติกรรม, การแมปตามกรอบงาน MITRE ATT&CK และการล่าภัยคุกคามเชิงรุกโดยมนุษย์ ส่วนสุดท้ายนี้มักเป็นตัวตัดสินที่สำคัญที่สุด การล่าภัยคุกคามเชิงรุก คือการออกไปค้นหาภัยคุกคามที่ไม่ได้ทำให้เกิดการแจ้งเตือนอัตโนมัติใดๆ ซึ่งจะแยกทีม MDR ที่มีความสามารถอย่างแท้จริงออกจากทีมที่ใช้งาน SIEM ได้ดีกว่าค่าเฉลี่ยเท่านั้น
ในการพูดคุยกับผู้ขายทุกครั้ง ให้ถามคำถามนี้โดยตรง: “ช่วยอธิบายขั้นตอนการตรวจจับภัยคุกคามที่ไม่ตรงกับลายเซ็นที่รู้จักให้ฟังหน่อย” คุณภาพของคำตอบนั้นจะบอกอะไรคุณได้มากกว่าเอกสารเปรียบเทียบคุณสมบัติใดๆ
2. ความสามารถในการตอบสนอง — พวกเขาตอบสนองจริง ๆ หรือแค่แจ้งเตือน?
นี่คือกับดักที่ใหญ่ที่สุดในตลาด MDR และทำให้ผู้ซื้อพลาดพลั้งครั้งแล้วครั้งเล่า ผู้ขายบางรายทำการตลาดตัวเองอย่างดุดันในฐานะ MDR แต่ "การตอบสนอง" ของพวกเขาก็คือ การส่งอีเมลไปยังทีมของคุณโดยบอกว่ามีบางอย่างดูน่าสงสัย
การตอบสนองที่แท้จริงหมายถึงการลงมือปฏิบัติ เช่น การควบคุมการแพร่กระจาย เช่น การแยกอุปกรณ์ปลายทางที่ถูกบุกรุก การยุติกระบวนการที่เป็นอันตราย การบล็อกการแพร่กระจายไปยังส่วนอื่น หรือการยกเลิกเซสชันของผู้ใช้ที่ถูกบุกรุก การกระทำเหล่านี้ต้องเกิดขึ้นอย่างรวดเร็ว บ่อยครั้งเร็วกว่าที่ทีมภายในของคุณจะอ่านข้อความแจ้งเตือนได้ทันเสียอีก ยิ่งไม่ต้องพูดถึงการลงมือปฏิบัติ
ระบุรายละเอียดเกี่ยวกับแผนรับมือของพวกเขาให้ชัดเจน พวกเขาสามารถดำเนินการอะไรได้บ้างโดยไม่ต้องรอการอนุมัติจากคุณ? อะไรบ้างที่ต้องได้รับการอนุมัติจากทีมของคุณ? ระยะเวลาเฉลี่ยตั้งแต่ตรวจพบจนถึงควบคุมสถานการณ์คือเท่าไร?
เวลาเฉลี่ยในการตรวจจับ (MTTD) และเวลาเฉลี่ยในการตอบสนอง (MTTR) เป็นตัวชี้วัดที่ผู้จำหน่าย MDR ที่น่าเชื่อถือทุกรายควรสามารถให้ข้อมูลได้อย่างละเอียด หากพวกเขาไม่สามารถระบุตัวเลขได้ นั่นบ่งบอกถึงสิ่งสำคัญบางอย่าง
3. ขอบเขตความคุ้มครอง — อะไรบ้างที่อยู่ในขอบเขตความคุ้มครองจริง ๆ?
MDR ไม่ได้ครอบคลุมทุกอย่างอย่างที่ชื่อบอกเสมอไป ผู้ให้บริการบางรายเน้นที่อุปกรณ์ปลายทางเป็นหลัก โดยสร้างขึ้นจากแพลตฟอร์ม EDR เฉพาะที่มีการมองเห็นส่วนอื่นๆ อย่างจำกัด ในขณะที่ผู้ให้บริการรายอื่นๆ นำเสนอการครอบคลุมที่กว้างกว่า ครอบคลุมสภาพแวดล้อมคลาวด์ การรับส่งข้อมูลเครือข่าย ระบบระบุตัวตน อีเมล และแอปพลิเคชัน SaaS
พิจารณาสภาพแวดล้อมของคุณอย่างรอบคอบก่อนทำการประเมิน หากคุณใช้งานระบบคลาวด์เป็นหลัก เช่น รันเวิร์กโหลดบน AWS, Azure หรือ GC คุณจำเป็นต้องเลือกผู้ให้บริการที่มีความสามารถในการตรวจจับระบบคลาวด์อย่างแท้จริง ไม่ใช่ผู้ที่แค่เพิ่มโมดูลคลาวด์เข้าไปในบริการที่เน้นปลายทางเป็นหลัก
หลักการเดียวกันนี้ใช้ได้กับเรื่องการยืนยันตัวตนเช่นกัน เนื่องจากปัจจุบันการโจมตีโดยใช้ข้อมูลประจำตัวเป็นสาเหตุหลักของการละเมิดข้อมูล คุณจึงต้องการความสามารถในการตรวจสอบโครงสร้างพื้นฐานด้านการยืนยันตัวตนของคุณ เช่น Active Directory, Azure AD, Okta เพื่อตรวจจับปัญหาต่างๆ เช่น การยกระดับสิทธิ์ที่ไม่ปกติ หรือรูปแบบการตรวจสอบสิทธิ์ที่น่าสงสัย ก่อนที่จะลุกลามกลายเป็นเหตุการณ์ร้ายแรง
จัดทำขอบเขตงานเป็นลายลักษณ์อักษร: ครอบคลุมสภาพแวดล้อมใดบ้าง แหล่งข้อมูลใดบ้างที่นำมาใช้ และมีช่องว่างใดบ้างในขอบเขตงานที่ครอบคลุม
4. ทีมวิเคราะห์ — ใครกันแน่ที่อยู่เบื้องหลังม่าน?
เทคโนโลยีเป็นรากฐาน แต่ MDR เป็นบริการที่ขับเคลื่อนด้วยมนุษย์เป็นหลัก คุณภาพของนักวิเคราะห์ที่คอยตรวจสอบสภาพแวดล้อมของคุณมีความสำคัญอย่างยิ่ง อาจสำคัญกว่าแพลตฟอร์มที่พวกเขาใช้เสียด้วยซ้ำ
สอบถามเกี่ยวกับคุณสมบัติของนักวิเคราะห์และโครงสร้างระดับประสบการณ์ พวกเขามีนักวิเคราะห์กี่ระดับ? กระบวนการแจ้งปัญหาเป็นอย่างไร? ผู้ที่จัดการเหตุการณ์วิกฤตที่สุดของคุณเป็นผู้ที่มีประสบการณ์สูงจริง ๆ หรือว่า "ระดับ 3" หมายถึงคนที่มีประสบการณ์ด้านความปลอดภัยเพียงสองปีและเพิ่งได้รับการรับรอง?
สอบถามเกี่ยวกับอัตราส่วนจำนวนพนักงาน นักวิเคราะห์แต่ละคนดูแลสภาพแวดล้อมของลูกค้ากี่ราย? ผู้ให้บริการที่มีลูกค้าหนึ่งพันรายและมีนักวิเคราะห์ห้าสิบคนนั้นกำลังกระจายทีมอย่างไม่ทั่วถึง คุณต้องมั่นใจว่าเมื่อมีเหตุการณ์ใดเกิดขึ้นในสภาพแวดล้อมของคุณ คุณจะไม่ต้องรอคิวต่อจากลูกค้าอีกสามสิบราย
การกระจายตัวตามภูมิศาสตร์ก็สำคัญเช่นกัน การข่มขู่ไม่ได้ผลในช่วงเวลาทำการ สอบถามเกี่ยวกับจำนวนพนักงานที่ให้บริการในเวลากลางคืนและวันหยุดสุดสัปดาห์ในเขตเวลาของคุณด้วย
5. Threat Intelligence — ข้อมูลเชิงลึกที่เป็นกรรมสิทธิ์หรือข้อมูลสินค้าโภคภัณฑ์?
Threat intelความขยันหมั่นเพียรคือเชื้อเพลิงที่ขับเคลื่อนการตรวจจับที่ดี คำถามคือว่าผู้จำหน่ายดึงข้อมูลจากแหล่งข้อมูลทั่วไปที่มีอยู่มากมายหรือไม่ ซึ่งหมายความว่าพวกเขากำลังเห็นสัญญาณเดียวกันกับคนอื่นๆ โดยมักจะมีความล่าช้าอย่างมาก หรือว่าพวกเขามีข้อมูลเชิงลึกที่เป็นกรรมสิทธิ์ซึ่งสร้างขึ้นจากข้อมูลการวัดระยะทางของตนเองจากสภาพแวดล้อมที่ได้รับการตรวจสอบหลายพันแห่ง
ผู้ขายที่ดำเนินงานในระดับใหญ่มีข้อได้เปรียบอย่างมากในเรื่องนี้ พวกเขาสังเกตแบบแผนการโจมตีและกลยุทธ์ของฝ่ายตรงข้ามในอุตสาหกรรมและภูมิภาคต่างๆ ซึ่งช่วยให้พวกเขาสร้างตรรกะการตรวจจับที่ดีขึ้นและแบ่งปันตัวบ่งชี้การประนีประนอมได้เร็วกว่าที่องค์กรใดองค์กรหนึ่งจะทำได้ด้วยตนเอง
ถามว่าพวกเขาเป็นอย่างไร threat intelLigence แจ้งกฎการตรวจจับแบบเรียลไทม์ และระบุความเร็วในการนำข้อมูลข่าวกรองใหม่ไปใช้เมื่อมีการเปิดเผยช่องโหว่สำคัญหรือแคมเปญโจมตีครั้งใหญ่
6. การผสานรวมเข้ากับระบบที่มีอยู่เดิมของคุณ
คุณไม่ได้เริ่มต้นจากศูนย์ คุณมีเครื่องมือต่างๆ อยู่แล้ว เช่น ไฟร์วอลล์ endpoint protectionรวมถึงแพลตฟอร์มระบุตัวตนและระบบออกตั๋ว ผู้ให้บริการ MDR ที่ดีควรผสานรวมเข้ากับสิ่งที่คุณมีอยู่แล้วได้อย่างราบรื่น ไม่ใช่การบังคับให้คุณรื้อและเปลี่ยนทุกอย่างใหม่หมด
สอบถามเจาะจงเกี่ยวกับความสามารถในการผสานรวม พวกเขาสามารถทำงานร่วมกับ SIEM ของคุณได้หรือไม่ หรือจำเป็นต้องใช้ SIEM ของพวกเขา? พวกเขาสามารถดึงข้อมูลบันทึกจากชุดเครื่องมือที่มีอยู่ของคุณได้หรือไม่ หรือจำเป็นต้องติดตั้งเซนเซอร์ของตนเองในทุกที่?
กระบวนการเริ่มต้นใช้งานมักเป็นส่วนที่เผยให้เห็นอะไรหลายอย่างมากที่สุดในการสนทนากับผู้ขาย หากพวกเขาไม่สามารถอธิบายได้อย่างชัดเจนว่าพวกเขาจะเชื่อมต่อกับระบบของคุณได้อย่างไร และ 60 วันแรกจะเป็นอย่างไร ก็คาดได้เลยว่าจะเกิดปัญหาในภายหลัง
วิธีดำเนินการคัดเลือกผู้จำหน่ายโดยไม่ให้หลงทางท่ามกลางข้อมูลมากมาย
การรู้ว่าต้องประเมินอะไรเป็นเรื่องหนึ่ง การดำเนินกระบวนการที่เป็นระบบซึ่งนำไปสู่คำตอบที่ถูกต้องเป็นอีกเรื่องหนึ่ง
เริ่มต้นด้วยการกำหนดความต้องการของคุณเองก่อนที่จะพูดคุยกับใคร
ก่อนที่จะส่ง RFP ครั้งแรก โปรดจัดทำเอกสารเกี่ยวกับสภาพแวดล้อม โปรไฟล์ความเสี่ยง ข้อผูกพันด้านการปฏิบัติตามกฎระเบียบ และความสามารถภายในองค์กรของคุณ ทีมของคุณสามารถจัดการอะไรได้บ้าง? คุณต้องการให้ผู้ขายรับผิดชอบอะไรทั้งหมด? ทรัพย์สินที่สำคัญที่สุดของคุณอยู่ที่ไหน และขอบเขตความเสียหายที่แท้จริงจะเป็นอย่างไรหากเกิดข้อผิดพลาดขึ้น?
บริบทนี้มีผลต่อทุกสิ่ง ผู้ให้บริการ MDR ที่เหมาะสมอย่างยิ่งสำหรับบริษัทด้านการดูแลสุขภาพที่มีข้อผูกพันด้านกฎระเบียบที่เข้มงวดและโครงสร้างพื้นฐานแบบติดตั้งในองค์กร อาจไม่ใช่ตัวเลือกที่เหมาะสมสำหรับสตาร์ทอัพฟินเทคที่เน้นระบบคลาวด์เป็นหลัก
สร้างรายชื่อผู้สมัครโดยพิจารณาจากความเหมาะสม ไม่ใช่จากชื่อเสียงของแบรนด์
บริษัทใหญ่ๆ ในวงการความปลอดภัยทางไซเบอร์ไม่ได้เป็นผู้ให้บริการ MDR ที่แข็งแกร่งที่สุดเสมอไป ผู้ให้บริการที่มีความสามารถมากที่สุดบางรายอาจเป็นบริษัทขนาดกลางหรือเฉพาะทาง ควรคัดเลือกผู้ให้บริการโดยพิจารณาจากความเหมาะสมกับสภาพแวดล้อมและความต้องการของคุณเป็นหลัก ไม่ใช่จากผู้ที่มีชื่อเสียงโดดเด่นในงานประชุมต่างๆ
รายงานของนักวิเคราะห์อุตสาหกรรมอาจช่วยให้คุณวางแนวทางได้ แต่ควรใช้เป็นเพียงจุดเริ่มต้น ไม่ใช่ข้อสรุป เพราะรายงานเหล่านี้มักจะตามหลังตลาด และไม่ได้สะท้อนรายละเอียดปลีกย่อยของสถานการณ์เฉพาะของคุณ
ขอแบบฝึกหัดบนโต๊ะหรือการทดสอบแนวคิดเบื้องต้น
การจำลองสถานการณ์บนโต๊ะที่ดำเนินการอย่างดีจะบอกคุณได้มากมายเกี่ยวกับความสามารถที่แท้จริงของผู้ขายมากกว่าการนำเสนอการขายใดๆ ขอให้พวกเขาอธิบายสถานการณ์การโจมตีที่สมจริงซึ่งเกี่ยวข้องกับอุตสาหกรรมของคุณ และแสดงให้คุณเห็นอย่างชัดเจนว่าพวกเขาจะตรวจจับและตอบสนองต่อสถานการณ์นั้นได้อย่างไร ผู้ขายบางรายเสนอระยะเวลาทดลองใช้งาน (POC) ที่จำกัด หากพวกเขาไม่อนุญาตให้คุณประเมินความสามารถของพวกเขาอย่างมีนัยสำคัญก่อนที่คุณจะเซ็นสัญญา โปรดใส่ใจในจุดนี้
ตรวจสอบเงื่อนไขทางการค้าอย่างละเอียดถี่ถ้วน
สัญญา MDR อาจมีข้อจำกัดสำคัญซ่อนอยู่ในรายละเอียดปลีกย่อย ระวังภาษา SLA ที่คลุมเครือและยากต่อการวัดผล ขั้นตอนการยกระดับที่ต้องได้รับการอนุมัติจากคุณก่อนดำเนินการใดๆ และข้อจำกัดเกี่ยวกับจำนวนเหตุการณ์หรือการดำเนินการตอบสนองที่รวมอยู่ในราคาพื้นฐาน ควรขอ SLA ที่วัดผลได้สำหรับเวลาในการตรวจจับและการตอบสนอง และตรวจสอบให้แน่ใจว่า "การตอบสนอง" ในสัญญานั้นหมายถึงการควบคุมสถานการณ์จริง ไม่ใช่แค่การแจ้งเตือน
การนำ MDR ไปใช้: เริ่มต้น 90 วันแรกให้ถูกต้อง
การชนะการคัดเลือกผู้จำหน่าย MDR เป็นเพียงจุดเริ่มต้นเท่านั้น การนำไปใช้งานจริงต่างหากที่มักจะเกิดปัญหาขึ้น
ปฏิบัติต่อกระบวนการเริ่มต้นใช้งานเสมือนเป็นความร่วมมืออย่างแท้จริง
ช่วงสัปดาห์แรก ๆ จะเป็นเรื่องของการผสมผสาน การปรับเทียบ และการปรับแต่ง ผู้ให้บริการจำเป็นต้องเข้าใจสภาพแวดล้อมของคุณอย่างลึกซึ้ง รูปแบบการใช้งานปกติ เวลาทำการ เครื่องมือที่ได้รับอนุมัติ และบัญชีผู้ใช้ที่มีสิทธิ์พิเศษ หากปราศจากบริบทเหล่านี้ แม้แต่ระบบตรวจจับที่ยอดเยี่ยมก็อาจสร้างสัญญาณรบกวนที่บั่นทอนความเชื่อมั่นในบริการทั้งหมดได้
ขอให้ผู้ให้บริการจัดทำแผนการเริ่มต้นใช้งานโดยละเอียด พร้อมกำหนดเป้าหมายและผู้รับผิดชอบในแต่ละขั้นตอนอย่างชัดเจน กำหนดให้ชัดเจนว่า "พร้อมใช้งานอย่างเต็มรูปแบบ" หมายถึงอะไร และจะไปถึงจุดนั้นเมื่อใด
กำหนดขั้นตอนการยกระดับปัญหาให้ชัดเจนก่อนเริ่มใช้งานจริง
ก่อนเปิดใช้งานบริการ ให้ตัดสินใจว่าใครจะเป็นผู้ได้รับการติดต่อในกรณีที่เกิดปัญหาที่ร้ายแรง ระดับความรุนแรงใดที่ควรติดต่อหัวหน้า SOC ของคุณ เทียบกับ CISO ของคุณ หรือทีมรับมือเหตุการณ์ของคุณ ใครมีอำนาจในการอนุมัติมาตรการแก้ไขที่อาจส่งผลกระทบต่อระบบการผลิต
การตัดสินใจเหล่านี้ทำได้ยากขึ้นอย่างมากภายใต้ความกดดันในเวลา 11 น. ขณะที่เหตุการณ์กำลังเกิดขึ้น ดังนั้นควรตัดสินใจล่วงหน้าเป็นลายลักษณ์อักษร
กำหนดจังหวะการทบทวนอย่างสม่ำเสมอ
การทบทวนธุรกิจรายเดือนหรือรายไตรมาสควรเป็นส่วนหนึ่งของการทำงานร่วมกันในระบบ MDR ของคุณตั้งแต่วันแรก การทบทวนเหล่านี้ควรครอบคลุมถึงแนวโน้มภัยคุกคามในสภาพแวดล้อมของคุณ การปรับแต่ง การแก้ไขปัญหาช่องว่างในการครอบคลุม เหตุการณ์เฉียดฉิว และสิ่งที่จะเกิดขึ้นในแผนงานของผู้จำหน่าย ผู้จำหน่ายที่ไม่นำเสนอข้อมูลเชิงลึกอย่างกระตือรือร้นในการประชุมเหล่านี้ จะไม่สามารถมอบมูลค่าเต็มที่ได้
การปฏิบัติตามกฎระเบียบ: MDR ไม่ใช่แค่ช่องให้ติ๊ก แต่ช่วยให้คุณติ๊กในช่องที่ถูกต้องได้
หากองค์กรของคุณดำเนินงานภายใต้กรอบการกำกับดูแลต่างๆ เช่น HIPAA, PCI DSS, SOC 2, ISO 27001, GDPR หรือ DPDP ผู้ให้บริการ MDR ของคุณจะเป็นส่วนสำคัญในการปฏิบัติตามกฎระเบียบขององค์กรของคุณ
MDR ให้การตรวจสอบและบันทึกข้อมูลอย่างต่อเนื่อง ซึ่งตรงตามข้อกำหนดของกรอบการจัดการเหตุการณ์ด้านความปลอดภัยส่วนใหญ่ ความสามารถในการตอบสนองช่วยแก้ไขข้อกำหนดในการรับมือกับเหตุการณ์ และเอกสารที่ผู้ให้บริการ MDR ที่ดีจัดทำขึ้น เช่น รายงานการสอบสวน การวิเคราะห์สาเหตุหลัก และไทม์ไลน์การแก้ไข คือหลักฐานที่ผู้ตรวจสอบบัญชีและหน่วยงานกำกับดูแลต้องการเห็นอย่างแท้จริง
ถึงกระนั้น MDR ก็ไม่ได้เข้ามาแทนที่การกำกับดูแลด้านความปลอดภัยพื้นฐานที่คุณต้องรับผิดชอบ มันช่วยเรื่องการตรวจจับและการตอบสนอง แต่คุณยังคงรับผิดชอบด้านการจัดการช่องโหว่ การควบคุมการเข้าถึง การจำแนกประเภทข้อมูล และกรอบการทำงานของโปรแกรมความปลอดภัยในวงกว้างอยู่ดี
ตรวจสอบให้แน่ใจว่าผู้ให้บริการที่คุณกำลังประเมินเข้าใจข้อกำหนดด้านการปฏิบัติตามกฎระเบียบของคุณอย่างชัดเจน และสอบถามเกี่ยวกับรายงานและหลักฐานการตรวจสอบที่พวกเขาสร้างขึ้นเป็นส่วนหนึ่งของบริการมาตรฐาน
เทคโนโลยีที่อยู่เบื้องหลัง MDR ที่ดี
การเข้าใจกลไกภายในจะช่วยให้คุณตั้งคำถามที่ชาญฉลาดขึ้นได้ Managed Detection and Response การประเมินผู้ให้บริการ บริการ MDR ที่น่าเชื่อถือส่วนใหญ่สร้างขึ้นจากความสามารถเหล่านี้บางส่วน:
Endpoint Detection and Response (อีดีอาร์) ระบบ EDR ช่วยให้มองเห็นภาพรวมของสิ่งที่เกิดขึ้นในระดับปลายทางได้อย่างชัดเจน เช่น กิจกรรมของกระบวนการ การเปลี่ยนแปลงไฟล์ การเชื่อมต่อเครือข่าย และความพยายามในการเคลื่อนย้ายไปยังอุปกรณ์อื่น ระบบ EDR มักเป็นหัวใจหลักของแพลตฟอร์ม MDR
Extended Detection and Response (เอ็กซ์ดีอาร์) ขยายขอบเขตการมองเห็นนั้นให้กว้างไกลกว่าแค่ปลายทาง โดยเชื่อมโยงสัญญาณต่างๆ ข้ามชั้นเครือข่าย คลาวด์ ข้อมูลประจำตัว และแอปพลิเคชัน เพื่อให้ได้ภาพรวมที่สมบูรณ์ยิ่งขึ้นของการโจมตีที่กำลังเกิดขึ้น บริการ MDR ที่ดีที่สุดนั้นสร้างขึ้นบนแพลตฟอร์ม XDR ที่มีเสถียรภาพ
SIEM และ Data Lakeรวบรวมและเชื่อมโยงข้อมูลบันทึกจากทั่วทั้งสภาพแวดล้อม ผู้จำหน่ายบางรายใช้ SIEM เชิงพาณิชย์ ในขณะที่บางรายสร้างแพลตฟอร์มที่เป็นกรรมสิทธิ์ของตนเองซึ่งได้รับการปรับให้เหมาะสมกับขนาดที่ MDR ต้องการ
Threat Intelความชอบธรรม — ทั้งข้อมูลจากทั่วโลกและข้อมูลเชิงลึกเฉพาะที่ได้มาจากการตรวจสอบสภาพแวดล้อมนับพันแห่ง — ช่วยให้นักวิเคราะห์มีบริบทที่จำเป็นในการแยกแยะภัยคุกคามที่แท้จริงออกจากความผิดปกติที่ไม่เป็นอันตรายได้อย่างรวดเร็ว
SOAR (Security Orchestration, Automation, and Response) คือระบบที่ทำให้งานตอบสนองเหตุการณ์ฉุกเฉินประจำวันเป็นไปโดยอัตโนมัติ และปรับปรุงขั้นตอนการทำงานของนักวิเคราะห์ให้คล่องตัวขึ้น เพื่อให้ทีมงานสามารถมุ่งเน้นไปที่การสืบสวนและการตัดสินใจ ไม่ใช่การทำงานซ้ำซากด้วยตนเอง
ปัญญาประดิษฐ์ (AI) และการเรียนรู้ของเครื่อง (Machine Learning)มีบทบาทสำคัญมากขึ้นในชั้นการตรวจจับ โดยสามารถระบุความผิดปกติและเชื่อมโยงสัญญาณอ่อนๆ ที่นักวิเคราะห์ที่เป็นมนุษย์ไม่สามารถตรวจพบได้ในวงกว้าง
คำถามสำคัญไม่ได้อยู่ที่ว่าผู้ขายมีสิ่งเหล่านี้ครบทุกอย่างหรือไม่ แต่ขึ้นอยู่กับว่าระบบโดยรวมของพวกเขานั้นช่วยให้พวกเขามองเห็นภาพรวมที่ครอบคลุมและเชื่อมโยงกันในสภาพแวดล้อมเฉพาะของคุณได้หรือไม่
ทำไมต้องเลือก Seqrite ในฐานะผู้ให้บริการ MDR ของคุณ
หากคุณกำลังประเมินผู้ให้บริการ Managed Detection and Response โดยเฉพาะอย่างยิ่งหากคุณดำเนินธุรกิจในอินเดียหรือมีฐานธุรกิจที่สำคัญในภูมิภาคเอเชียแปซิฟิก — Seqrite's Managed Detection and Response บริการ คุ้มค่าที่จะพิจารณาเป็นหนึ่งในตัวเลือกของคุณ
Seqrite MDR ถูกสร้างขึ้นโดยตรงบนพื้นฐานของ Seqrite XDRทำให้สามารถมองเห็นข้อมูลเชิงลึกที่เชื่อมโยงกันอย่างลึกซึ้งทั่วทั้งอุปกรณ์ปลายทาง เครือข่าย คลาวด์ และข้อมูลประจำตัวตั้งแต่วันแรก ไม่ใช่การเพิ่มเติมแบบชั่วคราวที่สร้างช่องโหว่ในการตรวจจับของคุณ ทีม MDR มาจากหลากหลายสาขา Seqrite Labs ซึ่งใช้เวลาหลายปีในการติดตามภัยคุกคามขั้นสูง ค้นหาผู้ก่อภัยคุกคาม และรวบรวมข้อมูลข่าวกรองเกี่ยวกับแคมเปญโจมตีที่มุ่งเป้าไปที่องค์กรต่างๆ ในหลากหลายอุตสาหกรรมและภูมิภาค
ในทางปฏิบัติ นั่นหมายความว่า นักวิเคราะห์ที่ติดตามสภาพแวดล้อมของคุณไม่ได้ทำงานโดยอาศัยข้อมูลจากสินค้าโภคภัณฑ์ พวกเขาได้รับการสนับสนุนจากข้อมูลที่เป็นกรรมสิทธิ์เฉพาะ threat intelระบบรักษาความปลอดภัยนี้สร้างขึ้นจากข้อมูลการโจมตีในโลกแห่งความเป็นจริง และได้รับการอัปเดตอย่างต่อเนื่องเพื่อสะท้อนสิ่งที่เกิดขึ้นจริงในสภาพแวดล้อมภัยคุกคามในปัจจุบัน
Seqrite นอกจากนี้ MDR ยังผสานรวมเข้ากับระบบได้อย่างลงตัว Seqrite Endpoint Protection (EPP)ดังนั้นหากคุณกำลังใช้งานอยู่แล้ว Seqrite การใช้ EPP ทั่วทั้งอุปกรณ์ปลายทางของคุณ จะทำให้เส้นทางสู่การครอบคลุม MDR ที่ครอบคลุมนั้นสั้นลงอย่างมาก เมื่อเทียบกับการเริ่มต้นใหม่ทั้งหมดกับผู้จำหน่ายที่มีแพลตฟอร์มที่ไม่สามารถมองเห็นโครงสร้างพื้นฐานที่มีอยู่ของคุณได้
และทั้งหมดนั้น — MDR, XDR, EPP และ Seqrite Threat Intelความชอบธรรม — ขับเคลื่อนโดย โกดีป เอไอ, SeqriteGoDeep.AI คือเครื่องมือ AI ที่สร้างขึ้นโดยเฉพาะเพื่อผสานรวมการเรียนรู้เชิงลึก การวิเคราะห์พฤติกรรม และการวิเคราะห์เชิงพยากรณ์ นี่ไม่ใช่โมดูล AI จากภายนอกที่นำมาใช้ในสถาปัตยกรรมของคนอื่น GoDeep.AI ได้รับการพัฒนาขึ้นโดยเฉพาะสำหรับความปลอดภัยทางไซเบอร์ ฝึกฝนด้วยข้อมูลภัยคุกคามที่สะสมมานานหลายทศวรรษ และออกแบบมาให้ทำงานได้อย่างต่อเนื่อง เรียนรู้จากภัยคุกคามใหม่แต่ละครั้งเพื่อติดตามต้นกำเนิด เข้าใจผลกระทบ และปรับตรรกะการตรวจจับแบบเรียลไทม์
สำหรับองค์กรที่กำลังประเมิน MDR ในฐานะส่วนหนึ่งของการเปลี่ยนแปลงด้านความปลอดภัยในวงกว้าง Seqriteข้อได้เปรียบของระบบนี้คือแพลตฟอร์มแบบบูรณาการที่อยู่เบื้องหลัง คุณไม่ต้องนำโซลูชันเฉพาะจุดจากผู้จำหน่ายหลายรายมาประกอบเข้าด้วยกัน คุณมี EPP, XDR, Threat Intelความรอบคอบและ MDR บนแพลตฟอร์มเดียว พร้อมแหล่งข้อมูลที่เชื่อถือได้เพียงแหล่งเดียวทั่วทั้งการปฏิบัติการรักษาความปลอดภัยของคุณ
การบูรณาการนั้นมีความสำคัญมากกว่าที่ผู้ซื้อส่วนใหญ่คิดในตอนแรก โดยเฉพาะอย่างยิ่งเมื่อเกิดเหตุการณ์ขึ้นและคุณต้องการให้เครื่องมือตรวจจับ การสืบสวน และการตอบสนองทำงานร่วมกัน ไม่ใช่สร้างข้อมูลที่แยกส่วนซึ่งทีมของคุณต้องนำมาวิเคราะห์และเชื่อมโยงด้วยตนเองภายใต้ความกดดัน
คำถามที่พบบ่อยเกี่ยวกับ MDR
MDR กับ MSSP แตกต่างกันอย่างไร?
โดยทั่วไปแล้ว MSSP จะจัดการเครื่องมือรักษาความปลอดภัยและส่งการแจ้งเตือนไปยังทีมของคุณ ในขณะที่ผู้ให้บริการ MDR จะตรวจสอบการแจ้งเตือนเหล่านั้นและดำเนินการตอบสนอง ความแตกต่างที่สำคัญคือผู้ให้บริการจะให้ความช่วยเหลือคุณในระหว่างเกิดเหตุการณ์ หรือเพียงแค่ส่งเรื่องให้คุณและรอให้ทีมของคุณดำเนินการ
ฉันจำเป็นต้องใช้ MDR อีกหรือไม่ หากฉันมี SIEM อยู่แล้ว?
ระบบ SIEM ทำหน้าที่รวบรวมและเชื่อมโยงข้อมูลบันทึก แต่ไม่ได้ให้ความเชี่ยวชาญจากมนุษย์ในการตรวจสอบและตอบสนองต่อสิ่งที่ระบบตรวจพบ MDR และ SIEM มีหน้าที่แตกต่างกัน — MDR สามารถทำงานร่วมกับ SIEM ที่มีอยู่เดิม หรือใช้แทนที่ SIEM เดิมได้ ขึ้นอยู่กับสถาปัตยกรรมของผู้จำหน่าย
MDR สามารถเข้ามาแทนที่ทีมรักษาความปลอดภัยภายในองค์กรของฉันได้หรือไม่?
MDR ช่วยเสริมศักยภาพทีมของคุณ โดยรับภาระการเฝ้าระวังและตอบสนองตลอด 24 ชั่วโมง 7 วันต่อสัปดาห์ เพื่อให้บุคลากรภายในของคุณสามารถมุ่งเน้นไปที่งานด้านความปลอดภัยเชิงกลยุทธ์ การบริหารจัดการโครงการ และบริบทเฉพาะทางธุรกิจที่ทีมภายนอกไม่สามารถให้ได้
จะเกิดอะไรขึ้นเมื่อมีเหตุการณ์ฉุกเฉินเกิดขึ้น?
ทีม MDR จะตรวจจับและตรวจสอบเหตุการณ์ ดำเนินการควบคุมสถานการณ์ทันทีภายในขอบเขตที่ตกลงกันไว้ล่วงหน้า ส่งต่อเรื่องไปยังทีมของคุณตามแผนปฏิบัติการที่กำหนดไว้ และทำงานร่วมกับฝ่ายรับมือเหตุการณ์ของคุณตลอดระยะเวลา หลังจากเหตุการณ์สิ้นสุดลง คุณจะได้รับรายงานโดยละเอียดซึ่งครอบคลุมถึงลำดับเหตุการณ์ การวิเคราะห์สาเหตุหลัก การวิเคราะห์เส้นทางการโจมตี และข้อเสนอแนะในการแก้ไข
