Dopasowywanie zasobów i ryzyka biznesowego do właściwego rozwiązania
Uzyskanie widoczności i reagowanie na ataki w całej infrastrukturze przedsiębiorstwa (punkty końcowe, serwery, aplikacje, SaaS, chmura, użytkownicy itp.) to bardzo trudne zadanie w dzisiejszym środowisku cyberbezpieczeństwa. Przedsiębiorstwa są zmuszone do tworzenia złożonych stosów bezpieczeństwa składających się z: SIEM, UEBA, SZYBOWAĆ, EDR, NDR, TIP i inne narzędzia, aby sprostać temu wyzwaniu. Dla wielu przedsiębiorstw SIEM to główne narzędzie do agregowania i analizy danych z infrastruktury. Prawie połowa przedsiębiorstw deklaruje, że nie jest zadowolona ze swoich SIEMs [1], ale wszystkie przedsiębiorstwa szybko wskażą ilość kapitału, czasu i zasobów, jakie zainwestowały w utworzenie i utrzymanie swojej działalności. SIEMs. Open XDR wyłania się jako nowe podejście do wyzwania, jakim jest uzyskanie widoczności i reagowanie na ataki w całej infrastrukturze korporacyjnej. . W tym artykule przyjrzymy się, jak Open XDR oraz SIEM mierzyć się z rozwiązaniami bezpieczeństwa.
Definiowanie Open XDR
Gartner definiuje XDRlub eXtended Detection and Response, jako „zunifikowana platforma wykrywania i reagowania na incydenty bezpieczeństwa, która automatycznie gromadzi i koreluje dane z wielu zastrzeżonych komponentów bezpieczeństwa”. Ta definicja, pochodząca z 2020 r., nie obejmuje Open XDR jako wschodząca kategoria XDR która zbiera i koreluje dane ze wszystkich istniejących komponentów bezpieczeństwa, nie tylko własność lub te od jednego dostawcy. Więc, Open XDR jest zdefiniowany tak samo jak Gartnera XDR definicja, z wyjątkiem tego, że kończy się na „wszystkie istniejące komponenty bezpieczeństwa dostarczane za pośrednictwem otwartej architektury”, Otwarte kontra natywne XDR Różnica jest szczegółowo omówiona w innym artykule. W tym artykule skupiamy się na Open XDR w porównaniu do SIEM. Tak Open XDR ma następujące wymagania techniczne, aby spełnić obietnicę zawartą w powyższej definicji:
- Możliwość wdrożenia – Natywna dla chmury architektura mikrousług zapewniająca skalowalność, dostępność i elastyczność wdrażania
- Fuzja danych - Centralizuj, normalizuj i wzbogacaj dane na całej powierzchni ataku, w tym w sieci, chmurze, punktach końcowych, aplikacjach i tożsamości
- Wykrycie - Wbudowane automatyczne detekcje poprzez Nauczanie maszynowe
- Korelacja - Wykrycia skorelowane o wysokiej wierności w wielu narzędziach bezpieczeństwa
- Inteligentna reakcja - Jedno kliknięcie lub automatyczna odpowiedź z tej samej platformy.
Brzmi podobnie do SIEM plus trochę SZYBOWAĆ? To dlatego, że tak jest. Istnieją jednak poważne różnice architektoniczne, które pozwalają: Open XDR dotrzymać wielu obietnic SIEMs gdzie SIEMs zawiodły.
Definiowanie SIEM
Gartner definiuje SIEMlub Security Information and Event Management, jako technologia, która „wspiera wykrywanie zagrożeń, zgodność i zarządzanie incydentami bezpieczeństwa poprzez zbieranie i analizę (zarówno w czasie niemal rzeczywistym, jak i historycznym) zdarzeń bezpieczeństwa, a także szerokiej gamy innych zdarzeń i kontekstowych źródeł danych”. Definicja ta jest szczególnie podobna do definicji XDR. Największe różnice występują w architekturze, ale czysto definicyjnie SIEM nazwa pochodzi od jego głównego celu – zarządzania informacjami i wydarzeniami. XDR Nazwa pochodzi również od jego głównego celu – wykrywania i reagowania. Może się to wydawać mało istotne, ale ta różnica w celach biznesowych napędza podejście architektoniczne i jest powodem SIEMsą bardzo kapitałochłonne w dzisiejszym środowisku bezpieczeństwa.
Porównanie architektur
To porównanie skupia się tylko na różnicach. Istnieje wiele podobieństw technicznych, w tym przechowywanie długoterminowe, otwarte integracje z narzędziami bezpieczeństwa, natywność w chmurze oraz wydajne wyszukiwanie i polowanie na zagrożenia.
Jednakże, Open XDR ma pięć kluczowych różnic architektonicznych w stosunku do SIEMs:
- Dane są wymuszane do stanu znormalizowanego i wzbogaconego, a odbywa się to przed zapisaniem danych w Data Lake.
- Wykrycia i korelacja alertów są automatycznie sterowane przez sztuczną inteligencję Open XDR, nie są to zasady pisane przez ludzi, jak w przypadku SIEMs.
- Incydenty powstają na podstawie skorelowanych alertów, na podstawie których na tej samej platformie organizowana jest pojedyncza odpowiedź, w porównaniu z SIEM, która wysyła alerty do innej platformy SOAR, która następnie wykonuje korelację i odpowiedź w dół strumienia.
- Wiele narzędzi wymaganych do operacji bezpieczeństwa jest zunifikowanych, takich jak: Jezioro Big Data, UEBA, SOAR, TIP, NDR or EDR na jednej platformie, podczas gdy wiele SIEMzawiera tylko Big Data Lake, wymuszanie SIEM użytkowników do samodzielnego ręcznego łączenia wielu złożonych narzędzi.
Różnice 1 i 2 idą w parze. Aby zbudować i utrzymać sensowną sztuczną inteligencję w dowolnej branży, konieczne jest rozwiązanie problemu danych. W kontekście bezpieczeństwa oznacza to, że dane muszą być scentralizowane, znormalizowane i wzbogacone w celu zmniejszenia złożoności. Jeśli dane będą modelowane inaczej przy każdym wdrożeniu platformy, utrzymanie modeli sztucznej inteligencji będzie niemożliwe. XDR wymusza takie samo modelowanie danych w każdym wdrożeniu przed umieszczeniem ich w jeziorze danych; dane są dostępne wyłącznie w stanie znormalizowanym i wzbogaconym. SIEM albo udostępnia tę funkcjonalność jako opcjonalną, albo nie udostępnia jej wcale; w przypadku opcjonalnym normalizacja i wzbogacanie traktowane są jako krok przetwarzania końcowego na surowych danych, które są już zapisane.
Podsumowując, o różnicach technicznych 1 i 2, Open XDR wymusza normalizację i wzbogacanie danych, dzięki czemu jest w stanie budować znaczącą sztuczną inteligencję, która koreluje ze sobą zdarzenia i alerty. Z tych samych powodów SIEM architektura nie jest w stanie wyprodukować silnika AI o tej samej dokładności ze względu na sposób przetwarzania danych. SIEMbędą w stanie wykorzystać sztuczną inteligencję, ale skalowanie będzie trudne.
Różnica techniczna 3 sprowadza się do Open XDR wykonywanie korelacji i odpowiedzi na tej samej platformie. Konstrukcja incydentu wyższego rzędu (wiele powiązanych alertów) jest automatycznie tworzona w Open XDR Platforma, i na to reaguje się całościowo. ZA SIEM musi przekazać alerty do SZYBOWAĆ, który musi korelować alerty z regułami bez głębokiego kontekstu wszystkiego, co dzieje się w środowisku. Open XDR wywołuje odpowiedź taką jak SIEM a SOAR tak, ale wierność odpowiedzi jest znacznie większa w przypadku XDR ponieważ jest on organizowany na tej samej platformie, która wykonuje detekcje i korelacje oparte na sztucznej inteligencji, a gdzie dostępne są wszystkie dane.
Ostateczna różnica techniczna koncentruje się wokół podejścia do budowania i utrzymywania ogólnego stosu bezpieczeństwa. Open XDR został zaprojektowany w celu ujednolicenia wszystkich kluczowych narzędzi do operacji bezpieczeństwa, tak aby można je było organizować z jednej platformy. Wiele SIEMOferują długie listy wtyczek i zaawansowane poziomy personalizacji, ale to nakłada na użytkowników obowiązek zbudowania i skonfigurowania swojego systemu.
Dla przedsiębiorstwa te różnice techniczne mają wpływ na kapitał, czas i zasoby niezbędne do uruchomienia platformy bezpieczeństwa. SIEMsą technologiami otwartymi, więc ich eksploatacja będzie kosztowna. Open XDR Platformy są technologiami nakazu bezpieczeństwa, a zatem przedsiębiorstwa będą znacznie wydajniej z nich korzystać.
Wreszcie, choć nie są to różnice ściśle techniczne, istnieją dwa obszary, w których SIEMSkupiają się one znacznie bardziej na przechowywaniu danych związanych z przestrzeganiem przepisów oraz na korzystaniu z tej samej platformy do operacji informatycznych. XDR jest zaprojektowany z myślą o wynikach wykrywania i reagowania. Nadal może spełniać wymogi zgodności, ale nie był do tego zaprojektowany od samego początku. Operacje IT na tej samej platformie to coś, co… SIEM może twierdzić, jako Open XDR koncentruje się wyłącznie na bezpieczeństwie.
Co z NG-SIEMs?
Wszystko „Next Gen” sygnalizuje coś, co jest lepsze, a nie inne. NG-SIEMs są lepsze niż SIEMs w sensie hipotetycznym. Open XDR różni się od obu. NG-SIEMprzyniósł ogromne postępy w wielu obszarach, w których tradycyjna technologia SIEMs nie nadążały za wymaganiami dzisiejszego środowiska bezpieczeństwa. Godne uwagi ulepszenia to:
- Wykorzystanie technologii Big Data (nie więcej SIEM (ciągle się przewracając)
- Niektóre analizy zachowań użytkowników i jednostek (UEBA) poprzez różne algorytmy
- Ulepszenia UI/UX kluczowych przepływów pracy, takich jak Threat-Hunting
- Natywna lub otwarta integracja z Szybowce
- Wtyczki do modelowania danych.
NG-SIEMs z pewnością zniwelować lukę w możliwościach między Open XDR oraz SIEMale różnice architektoniczne pozostają takie same.
Niektórzy sprzedawcy twierdzą, że oferują SIEM I An XDR Platforma – co daje?
Istnieje wiele podobieństw między SIEM oraz Open XDR, jak wspomniano powyżej. Różnice techniczne są niuansowane, ale mają istotny wpływ na wartość biznesową i kapitał potrzebny do prowadzenia działalności. Dostawcy wysuwają dwa twierdzenia, jeśli korzystają z obu. SIEM oraz Open XDR opisać swój produkt.
Pierwszym twierdzeniem, jakie mogą złożyć sprzedawcy, jest to, że mogą używać "SIEM Możliwości" odnosić się do ich Open XDR Platforma posiadający wszystkie ważne możliwości SIEM – otwarta kolekcja, przechowywanie, wyszukiwanie, raportowanie, chmura natywna – jako sposób opisania, jak Open XDR można wdrożyć w stosie zabezpieczeń przedsiębiorstwa, w szczególności w celu zastąpienia istniejącego SIEM.
Drugim twierdzeniem, które sprzedawcy mogą wysunąć, jest stwierdzenie, że ich platforma jest zarówno a SIEM oraz Open XDR Platforma. Jest to mylący punkt, który prawdopodobnie ma zapewnić, że sprzedawca nie przegapi potencjalnego marketingu kategorii i będzie mógł sprzedać produkt klientom niezależnie od tego, czy szukają SIEM or Open XDR. Jak jednak omówiono powyżej, SIEM oraz Open XDR są różne, więc ten sam produkt nie może być obydwoma.
Nawigacja po kursie kolizyjnym XDR oraz SIEM
XDR jest na kursie kolizyjnym z SIEM i SOAR, jak zauważył Forrester [2]. Przedsiębiorstwa muszą podchodzić do obu kategorii technologii, mając na uwadze długoterminowe wyniki biznesowe i dostępne zasoby. Czy ważniejsza jest wysoka dokładność, automatyczne wykrywanie i reagowanie od razu po wyjęciu z pudełka? Czy możliwość reagowania z tej samej platformy przez ten sam zespół jest kluczowa dla skrócenia czasu reakcji na atak? Czy zespół ma niedobory kadrowe i/lub potrzebuje wielu szkoleń, aby obsługiwać narzędzie? Są to kluczowe pytania, które przedsiębiorstwa muszą rozważyć, definiując swoją strategię bezpieczeństwa i decydując, czy XDR or SIEM jest właśnie dla nich.
