النظر في XDR هل ترغب بالشراء؟ إليك الدروس التي تعلمناها.

الدروس المستفادة من بحثنا عن، ودمجنا لـ XDR

يتم نشر الإنترنت الموثوق به الآن ستيلر سايبر XDR –بصفته SOC- حل مراقب أو كبنية تحتية كخدمة.

الضجة التسويقية حول XDR إنه أمرٌ يصم الآذان بالنسبة لأولئك الذين يفكرون في XDRمن الصعب التمييز بين المواقع الإلكترونية البراقة والضجيج التسويقي لمعرفة ما هو حقيقي فعلاً. لذا، فكرت في مشاركة بعض الدروس المستفادة - من وجهة نظر الرئيس التنفيذي لشركة ممولة ذاتياً MSSPs، آمل أن يساعدك هذا في قرارات الشراء الخاصة بك.

على مدى السنوات الأربع الماضية ، كنا شركة Fortinet MSSP المتعفنة. نحن نحب جدران الحماية Fortinet الخاصة بنا ، حيث يعمل موظفونا المعتمدون من خلال NSE7 ، ويعملون بجد لضبط الأجهزة عالية السرعة المليئة بالميزات لتتماشى مع إرادتنا. لأسباب مختلفة ، قررنا منذ حوالي عامين أن نبدأ البحث عن طريقة لاستيعاب الطلبات الواردة من العملاء المحتملين حتى لا تضطر إلى نسخ أنظمة الأمان الحالية واستبدالها.

كذلك، SOC، شهادة عدم الممانعة ، EDR، MDR ، NDR ، MSSPsلماذا لا يقوم أحدهم بدمجها جميعًا في جهاز واحد يفهم جميع سجلاتهم ويستخدم القليل من التعلم الآلي لتدريب الذكاء الاصطناعي لتقديم مساعدة أفضل؟ SOC محللون؟ لدي صديق قديم كان يُطلق على هذا اسم "صندوق الإله". إنه يعلم كل شيء.

XDR هذه هي بداية صندوق الإله.
متطلباتنا:

• يجب أن تدمج كل هؤلاء البائعين الآخرين في بيئة العميل دون مطالبتهم بنسخ البنية التحتية الحالية واستبدالها.

  لم نرغب في نشر وكيل على كل جهاز كمبيوتر. لديهم بالفعل AV ومكافحة التهرب. لم نرغب في التحميل على نظام نقطة نهاية آخر.

  نريد القدرة على دمج تحليل تدفق الشبكة لاكتشاف العيوب ولكن قد لا نرغب في ذلك بنسبة 100٪ من الوقت. ينتج Flow كميات كبيرة من البيانات التي أردنا تشغيلها وإيقاف تشغيلها حسب الحاجة بناءً على مؤشرات أخرى.

• يجب أن تستوعب جميع متطلبات جمع / تحليل السجلات NIST 800-171.

  بينما تتطلب ISO أو CIS أو HIPAA أو PCI تجميع وتحليل كل هذه السجلات ، يتطلب NIST 800-171 إدخالات سجل مراقبة من كل جهاز تقريبًا لكل حدث - بنية أساسية ونقاط نهاية وأمان.

  نحن بحاجة إلى إيجاد طريقة أفضل للفت الانتباه إلى هذه السجلات والقيام بذلك بطريقة يمكن لقاعدة عملائنا التي تركز على الشركات الصغيرة والمتوسطة أن تتحملها. للقيام بذلك ، نحتاج إلى أن نكون قادرين على دمجهم في نظام واحد يفهم كل من السجلات المطلوبة.

• يجب أن تكون متعددة المستأجرين.

  في ذلك الوقت، لم أكن أدرك مدى الشك الذي سيساورني في الذكاء الاصطناعي حتى شاهدت مختلف XDRانطلق. كن مستعداً بفريق ذكي.

  قمنا بمقارنة أحدهما مع الآخر ، وإجراء اختبار A | B أثناء استخدام FortiAnalyzer وبيانات السجل الأولية في حزمة Lucene الخاصة بنا كخطوط أساسية

• من الناحية المثالية ، و XDR يجب أن يستوعب أي بائع، وليس فقط أولئك الذين تم بناؤهم بواسطة XDR بائع.

  بعض XDR قام البائعون الذين اطلعنا عليهم ببناء أنظمة الصوت والفيديو الخاصة بهم، وأنظمة منع الاختراق، وما إلى ذلك. بينما قام آخرون بتصنيع منتجات شركات أخرى، لكنهم رفضوا مناقشة ذلك.

  على أي حال، أريد أن أعرف أن الأدوات المدمجة في XDR ناضجة ومختبرة.

• إذا كان هناك مكون سحابي ، فأنا أريد دليلًا على أن بيئتهم السحابية آمنة.

  ستُخزَّن جميع بيانات عملائنا المتعلقة بالثغرات الأمنية هناك. لا أريد حدوث اختراق للبيانات في شركتنا. XDR تسريب معلومات عن ثغرات أمنية لدى العملاء من قِبل أحد الموردين. من منظور التجسس، يُعدّ هذا هدفًا ثمينًا للغاية. لا بدّ أنه آمن.

  نقوم بتقييم أمان البنية التحتية لجميع موردينا. عندما قمنا بذلك أثناء بحثنا، وجدنا أن أحد الموردين... XDR كان لدى البائع منتج رائع، لكن الخدمات التي يقدمها في بيئة سحابية لم تخضع لاختبارات أمنية قط!

  الامتثال جيد ، ولكن الأهم من ذلك؟ أطلعني على كيفية حماية البيانات. اجعلني أشعر بالراحة لأنك اتخذت التدابير لحماية البيانات. لقد فوجئت بأكثر من شخص لم يتمكن من القيام بذلك.

• يجب أن يكون هيكل السعر متوقعا بنسبة 100٪.التكاليف المتغيرة مُرهِقة. أردتُ التأكد من عدم وجود أي مفاجآت. إذا XDR يسألك البائع: "كم عدد نقاط النهاية لديك؟" اهرب. يجب أن يراعي هيكل التسعير قدرتنا على تضمين ذلك في تكاليف اشتراكنا، بهامش ربح معقول. في عالم خدمات الأمن المُدارة (MSSP)، SOC قد تتسبب التكاليف في فشلنا أسرع من أي شيء آخر. كيف يمكن لمزود خدمات الأمن المُدارة (MSSP) التوسع دون تكبّد تكاليف باهظة لعمالة أمن المعلومات؟

بحثنا عن سندريلا XDR (الذي يناسبنا تماماً!):

لقد بحثنا في عشرات الموردين - لا شك أنك سمعت بأسمائهم. بعد ما يقرب من عامين من التحليل التنافسي والعروض التوضيحية والتجارب من حوالي اثني عشر موردًا XDR قمنا بتضييق نطاق تركيزنا على شركتين، كلتاهما تخضعان للتجارب، وقد فازت شركة ستيلار سايبر بإعجابنا.

كان هذا استثمارًا رأسماليًا كبيرًا بالنسبة لنا. أردنا التأكد من أننا فعلنا ذلك بشكل صحيح وتمكنا من تعويض استثماراتنا في الحجم والكفاءات المضافة. بدلاً من استخدام الإصدار السحابي الخاص بهم ، قمنا بشراء خادم 88 نواة ، 20 تيرابايت. تم تصميم النظام لتحليل وتحليل كميات هائلة من البيانات من العشرات من أجهزة البنية التحتية وسجلات نقطة النهاية وأنظمة الأمان. لقد أردنا حمايته ، لذلك قمنا بتثبيته في مرفقنا الآمن في Iron Mountain Datacenter وأجرينا أول تجربة لنا "تناول طعام كلابك بنفسك" خلال أوائل صيف العام الماضي.

تعلمنا الكثير من الدروس. لن أتمكن من مشاركتها جميعًا في ورقة واحدة قصيرة ، لكنني اعتقدت أنه قد يكون من الجيد مشاركة عدد قليل من أكبرها.

• XDR يُقدّم حلاً رائعاً لعرض أي معلومة تخطر ببالك في واجهة واحدة. لكننا وجدنا الأمر مُربكاً بعض الشيء.

• هذه ليست أداة للمبتدئين. XDR قد يُدخل ذلك غموضًا حيث لا ينبغي أن يكون هناك غموض. ستحتاج إلى فريق ذكي لتقييم كل شيء. XDR اضرب قبل تفعيل SOAR. بينما يتعلم الذكاء الاصطناعي من XDR بفضل قاعدة عملاء البائع الأكبر، فإنه يتعلم أيضًا من خلال الإجراءات التي يقوم بها لك محللين. يجب أن يكونوا أذكياء.

• معظم XDR حلول تريد السعر بنقطة النهاية. هذه صفقة قاتلة. إذا سأل مندوب مبيعات ، "كم عدد نقاط النهاية لديك؟" ... RUN.

XDR يُقدّم حلاً رائعاً لعرض أي معلومة تخطر ببالك في واجهة واحدة. لكننا وجدنا الأمر مُربكاً بعض الشيء.

XDR إنها فكرة رائعة، لكن سوء التنفيذ سيُفسد يومك. يرغب متخصصو تكنولوجيا المعلومات في تجربة كل شيء (حتى ما يخطر على البال) على هذا الجهاز السحري. وبينما أتفهم تمامًا رغبة المهووسين بالتكنولوجيا في أن "المزيد من البيانات أمر جيد"، إلا أن ذلك جعل عملية التدريب صعبة بالنسبة لنا. SOC المحللون يبذلون جهوداً جبارة.

ستستهلك هذه الأجهزة أي كمية من البيانات يمكنك إدخالها إليها. ننصح بعدم إدخال أكثر من تدفق بيانات واحد في المرة الواحدة، على الأقل حتى تعتاد على ما ستنتجه الآلة. لماذا؟ لأن الآلة ستنتج النتائج تلقائيًا، بناءً على قواعد محددة مسبقًا. ستجد أن بعضها جيد، ولكن ليس كلها، وستكون كثيرة. SOC يجب أن يكون لدى المحللين معرفة أفضل، وسيتعين عليهم في البداية مراجعة كل تنبيه على حدة للتحقق منه والتأكد من صحته - هل XDR هل كان هذا هو التشخيص الصحيح؟ هل كان خاطئًا؟ ما الإجراءات اللازمة؟ الذكاء الاصطناعي، الأتمتة؟ أم الحل السحري؟ كلها حلول جيدة، ولكن بدون فهم دقيق لما يعتبره النظام صحيحًا أو خاطئًا، قد تجدون أنفسكم في حيرة من أمركم. لقد حدث هذا معنا. هناك الكثير مما هو مخفي في هذا النظام. تريّثوا. دعوا محلليكم يتعلمون. أدخلوا تدفقًا واحدًا من البيانات في كل مرة.

توصية ستوتزمان: السرعة تقتل. سير ببطء. ابدأ بتغذية بيانات واحدة. احصل على تطبيع ، ثم أضف التالي.

اعرف هذا. XDR ليست أداة للمبتدئين.

أتناول القليل SOC أقوم بتغييرات كل ثلاثة أشهر للحفاظ على مهاراتي حادة. هذا يبقيني على اتصال بـ SOCوربما أفعل ذلك لأنه أحد وظائفي المفضلة! على أي حال، خلال أول نوبة عمل لي مع جهاز ستيلار تشغيلي جديد في أول XDR في حوالي الساعة الثانية صباحًا، وجدتُ نفسي أُراقب النشاط الداخلي للبنك خلف جدران الحماية، ولكن على الشبكة، حيث تلقيتُ تنبيهًا يُفيد بتمرير كلمات مرور نصية واضحة بكميات كبيرة إلى خمسة عشر نظامًا مختلفًا. لم يكن البنك مفتوحًا في ذلك الوقت.

اعتقدت أنه لم يكن هناك سوى تفسرين محتملين: التسوية أو فحص الثغرات الأمنية. كما اتضح أن العميل كان يقوم بتشغيل OpenVAS لاختبار استجابتنا (نجحنا!) ، ولكن ... كيف رأينا ذلك؟ أنا أبحث في بيانات داخلية من أماكن لم نرها من قبل! كنا الآن نلتقط سجلات Windows وسجلات البنية التحتية وسجلات المصادقة وتدفق الشبكة من بنك مكون من 60 شخصًا. كنا نسحب ما يقرب من 40 غيغابايت من السجلات يوميًا. شعرت وكأنني السيد ماجو ، الذي حصل أخيرًا على نظارات جيدة وكان يرى اللون لأول مرة!

مع اكتمال عملية التكامل، احتفظنا ببرنامج FortiAnalyzer ومجموعة Lucene لتمكين محللينا من الابتعاد عن... XDR سيتمكنون من رؤية بيئة جديدة وعرض البيانات بطريقة مألوفة لهم. سنقوم بعملية انتقال متوازية عند انتهاء صلاحية التراخيص القديمة. مع ذلك، خلال هذه المرحلة الانتقالية، سيُجبر محللو المستوى الأول (محللو الفرز) على اكتساب مهارات أكثر تعمقًا. من المرجح أن يصبح الفرز من الماضي. XDR يتولى إجراءات آلية لمهام أكثر دنيوية مثل حظر ماسح ضوئي جديد أو التحقق من صحة نتائج الأدوات قبل تصعيدها لاتخاذ إجراء.

توصية ستوتزمان: يحتاج المحللون لديك إلى أن يكونوا أذكياء بما يكفي لفهم ما يحدث في البيانات قبل أن يتولى الذكاء الاصطناعي والأتمتة المسؤولية ويقوم الجهاز الجديد بزرع الأخطاء. أبلغ من العمر ستين عامًا وقد كنت أفعل ذلك لفترة طويلة ، لكنني ما زلت أريد مجموعة ثانية من العيون. هذه ليست أداة على مستوى الدخول. إنها أداة على مستوى الخبراء.

معظم XDR تُفضّل الحلول تسعير المنتجات حسب نقطة النهاية، وهذا يُعدّ عائقاً كبيراً أمام إتمام الصفقة.

إذا كان XDR يسأل البائع: "كم عدد نقاط النهاية لديك؟" اهرب!! لا يعمل عدّ نقاط النهاية في XDR الأسعار. لن تُعجبك المفاجأة. لا أستطيع التأكيد على هذا بما فيه الكفاية.

تعلمنا ذلك بالطريقة الصعبة. يحتوي برنامج Nirvana لبرنامج MSSP على بيانات من أجهزة متعددة على لوح زجاجي واحد. قمنا بتثبيت Stellar Cyber ​​عمليًا في الصيف الماضي لعملياتنا الداخلية. نحن نؤمن بـ "تناول طعام الكلاب الخاص بك" قبل البدء في المبيعات (نستخدم كل ما نبيعه).

طلبتُ من مدير تقنية المعلومات أن يُطبّق الأمر خطوةً بخطوة. أن يُدخل تدفق معلومات واحد إلى النظام، ونرى كيف سيستقر. لسوء الحظ، وباتباعه لنهج المورّد، قام بتركيب منفذ إضافي في محوّل الشبكة الأساسي لدينا، ودفع بكل ما لدينا إلى نظام ستيلار. وهكذا، تدفقت البيانات بغزارة. XDR تم إنشاء تدفق بيانات وهمي لأكثر من 40,000 جهاز. كل جهاز إنترنت الأشياء، والهواتف المحمولة، وأجهزة الكمبيوتر، والخوادم، وكل جهاز له عنوان IP موجود خلف أحد جدران الحماية الخاصة بنا، في أي مكان ضمن قاعدة عملاء شركتنا، أصبح يُعتبر نقطة نهاية. كان فريق المبيعات لدينا رائعًا. لم ندفع أي رسوم أثناء محاولتنا إيجاد طريقة لتوحيد النظام، لذا أوقفنا تدفق البيانات الوهمي وبدأنا مع عميل واحد في كل مرة، بدءًا من بنيتنا التحتية الخاصة. لم نكن نرغب في فقدان دقة البيانات، لذلك اعتمدنا ترخيصًا جماعيًا يعتمد على كميات البيانات، وليس على عدد نقاط النهاية.

توصية ستوتزمان: اسأل عن هذا مقدمًا ، ثم ارمي به بقدر ما تريد.

لقد ظللنا نظامنا قيد التشغيل منذ ما يقرب من عام الآن ، أولاً كدليل على القيمة بدءًا من مارس الماضي ، ثم بدأ العمل خلال الصيف ، وأصبح الآن يعمل بكامل طاقته ، ونشره لدعم العديد من المشاريع ذات الصلة بـ NIST 800-171 التي نوفرها لقد شاركت في ، وحيث لدينا عملاء لديهم بيئات غير متجانسة. لقد قام بعمل رائع. هل نحن 100٪؟ لا. ما زلنا نطلب من المحللون أن يكتبوا للأدوات غير المتاحة بالفعل. لم نقم بتشغيل SOAR بالكامل بعد ، وبصراحة ، أنا متردد في القيام بذلك في بعض مواقع عملائنا الأكثر هشاشة حيث لا نعرف نوع التأثير المضاعف الذي قد يتخذه الإجراء (الإجراءات) الآلي.

هل نحن سعداء لأننا استثمرنا XDRبالتأكيد. تكلفة النظام تعادل تقريبًا تكلفة اثنين من المحللين الجيدين، لكنني واثق من أنه سيسمح لنا بالتوسع والوصول إلى عملاء لم نكن قادرين على الوصول إليهم سابقًا.

المشاركة تعني الاهتمام. لقد مررنا بتجارب قاسية ولحظات عصيبة على الميزانية، حيث ظننتُ أننا سنضطر لدفع مبالغ طائلة لتغطية تكاليف هذا الأمر - أكثر مما سيكون في حسابنا لمدة عام. كان فريق ستيلار رائعًا، رغم أننا مجرد شركة صغيرة في محيطهم الواسع. آمل أن يكون هذا مفيدًا لكم وأنتم تفكرون في مشروعكم الخاص. XDR يمكنك الشراء. أو إذا كنت تفضل ذلك، تواصل معنا. يسعدنا مساعدتك في إنشاء... لك XDR في بيئة ستيلار سايبر الجديدة متعددة المستأجرين.