Расширенное обнаружение и реагирование (XDR)

Проще говоря, «Расширенное обнаружение и реагирование (XDR)» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

В практике ИБ термин «Расширенное обнаружение и реагирование (XDR)» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

При разборе цепочки событий аналитик SOC обращается к понятию «Расширенное обнаружение и реагирование (XDR)»: проверяет контекст актива и учётной записи, подтверждает признак и выбирает действие по сценарию реагирования.

• Защита конечных точек (EPP)EPP — защита конечных точек, предотвращающая распространённые угрозы с помощью политик, антивируса и иных механизмов.
• Телеметрия конечной точкиТелеметрия конечной точки — данные о процессах, файлах, соединениях, реестре, пользователях и действиях на устройстве.
• Эмуляция угрозЭмуляция угроз — контролируемое воспроизведение поведения атакующего для проверки защиты, детектирования и реакции.

1. Собрать телеметрию доменовXDR получает события конечных точек, идентичностей, сети, почты и облака.
2. Нормализовать и связатьПлатформа объединяет наблюдения вокруг активов, пользователей и временной линии.
3. Выявить сценарийАналитика формирует единый инцидент вместо набора несвязанных alert.
4. Оркестрировать ответКоманда подтверждает вывод и выполняет допустимые действия с контролем результата.

• XDRРешения