Managed Detection and Response (MDR)
Простыми словами
Внешняя команда не просто предоставляет инструмент, а анализирует телеметрию и помогает заказчику действовать при подтверждённой атаке по заранее определённой модели ответственности.
Как применяется
MDR используют при нехватке собственного круглосуточного SOC или для усиления отдельных технологий; заранее согласуют источники, полномочия реагирования, SLA и передачу доказательств.
Пример применения
Провайдер обнаруживает цепочку credential dumping и удалённого входа, подтверждает инцидент и по согласованному плейбуку инициирует изоляцию узла через EDR.
Не путать с
- MSSPMSSP может управлять широким набором средств и доступностью сервиса
Как это работает
- ПодключениеСогласуют активы, телеметрию, контакты и разрешённые действия.
- МониторингПлатформа и аналитики круглосуточно обрабатывают сигналы и гипотезы.
- РасследованиеСобытия связывают в инцидент, оценивают охват и уверенность.
- РеагированиеПровайдер рекомендует или выполняет согласованные действия и передаёт отчёт заказчику.
Продолжить изучение
- Курсы для SOCКурс
- SOC/MDRРешения
- Как устроена работа SOCСтатья
- Инструменты Blue Team: от SIEM до EDRСтатья
Частые вопросы
Нет. Заказчик остаётся владельцем риска, систем и бизнес-решений, даже если часть операций передана.
Какие данные нужны MDR?Набор зависит от услуги, но обычно включает конечные точки, идентичности, сеть, облако и контекст активов.
Что проверить в договоре?SLA, границы мониторинга, полномочия, хранение данных, уведомления, выход из услуги и метрики качества.