สำหรับผู้จำหน่ายความปลอดภัยและผู้ที่อยู่ใน XDR ตลาดโดยเฉพาะมีแกนทางสถาปัตยกรรมของการสร้างเทียบกับการบูรณาการ ด้านหนึ่งคุณมี “สร้าง / รับทุกอย่าง” – ผู้ขายที่มีการบูรณาการในแนวตั้งและต้องการเป็นกองความปลอดภัยทั้งหมดขององค์กร อีกด้านหนึ่ง คุณมี “บูรณาการกับทุกสิ่ง” – ผู้ขายที่สร้างส่วนประกอบเดียวหรือ API ที่ตั้งใจจะรวมเข้ากับสถาปัตยกรรมที่ใหญ่ขึ้น มีข้อดีและข้อเสียสำหรับทั้งสองวิธี ค่าย "สร้าง / รับทุกอย่าง" สามารถเชื่อมโยงส่วนประกอบทั้งหมดเข้าด้วยกันเพื่อสร้างประสบการณ์ด้านความปลอดภัยที่เหนียวแน่น แต่พวกเขาทำโดยเสียสมาธิและไม่น่าจะดีที่สุดในสายพันธุ์ ค่าย "บูรณาการกับทุกสิ่ง" สนุกสนานกับการมุ่งเน้นที่คุ้มค่าและสามารถสร้างผลิตภัณฑ์ที่ยอดเยี่ยมด้วยขอบเขตที่น้อยที่สุด แต่ต้องการให้ผู้ซื้อบางรายจัดชั้นผลิตภัณฑ์เหล่านี้ไว้ในพอร์ตโฟลิโอการรักษาความปลอดภัยที่กว้างขึ้น
ที่ Stellar Cyber เราใช้แนวทางของการอยู่ตรงกลางของแกนสถาปัตยกรรมนี้ – ความสมดุลระหว่างความสามารถในตัว (ที่โดดเด่น NDR, SIEM, TIPและ XDR เครื่องยนต์ AI) และความสามารถที่เราผสานรวมเข้าด้วยกัน หนึ่งในกลุ่มผลิตภัณฑ์ที่สำคัญที่สุดที่เราผสานรวมเข้าด้วยกันคือ EDR เราเพิ่งประกาศ Universal EDR . เครื่องแรกของอุตสาหกรรมซึ่งเป็นความสามารถในการนำ EDR หรือ EDR ใดๆ มาสู่แพลตฟอร์มของเรา และเราไม่เพียงแต่สนับสนุนเท่านั้น แต่เราทำให้ดีขึ้นในขณะที่รับรองระดับความเที่ยงตรงโดยไม่คำนึงถึงตัวเลือก EDR กล่าวอีกนัยหนึ่ง มันช่วยให้ผู้ใช้ได้รับสิ่งที่ดีที่สุดในตัวและบูรณาการวิธีการ – เสนอ an การรวม EDR สากล โดยที่ผลิตภัณฑ์ที่ผสานรวมเข้าด้วยกันอย่างแน่นหนาจนทำงานราวกับว่าเป็นส่วนหนึ่งของแพลตฟอร์ม แต่แพลตฟอร์มยังคงเปิดอยู่
หนึ่งในความท้าทายทางเทคนิคที่ใหญ่ที่สุดที่เราพบเจอขณะพัฒนาระบบนี้คือ วิธีการสร้างการแจ้งเตือนที่มีความแม่นยำสูงอย่างสม่ำเสมอ โดยไม่คำนึงถึงผู้จำหน่าย EDR เราอธิบายแนวทางทางเทคนิคของเราว่า"เส้นทางการแจ้งเตือน"หรือเทคนิคการประมวลผลที่จำเป็นในการเปลี่ยนจากข้อมูล EDR ต้นทางไปสู่การแจ้งเตือนที่มีความแม่นยำสูงใน Stellar Cyber EDR แต่ละตัว มีความแตกต่างกัน ซึ่งเป็นพื้นฐานที่ทำให้เราต้องพัฒนากรอบการทำงานเพื่อจัดการกับ EDR แต่ละตัวได้อย่างมีประสิทธิภาพ
กรอบงานและเส้นทางการแจ้งเตือนที่อธิบายไว้ด้านล่างเป็นคุณลักษณะแบ็กเอนด์ที่พร้อมใช้งานใน สเตลลาร์ไซเบอร์ Open XDR แพลตฟอร์ม.
Alert Pathway 1 – “การเสริมความสมบูรณ์ของ Passthrough”
เทคนิค “การเสริมข้อมูลแบบส่งผ่าน” (Passthrough Enrichment) รับการแจ้งเตือนจากระบบ EDR ต้นทาง จากนั้นเสริมข้อมูลภัยคุกคามเพิ่มเติมลงในการแจ้งเตือนเหล่านั้น และเชื่อมโยงเข้ากับMITRE ATT&CKในแง่หนึ่ง เทคนิคนี้คล้ายกับการเพิ่มบริบทเพิ่มเติมหลังจากรายงานข่าวซ้ำ แต่จะมีประสิทธิภาพสูงหากการแจ้งเตือนบางรายการในEDR ต้นทาง มีความถูกต้องแม่นยำสูงสุด อย่างไรก็ตาม ในการวิจัยของเรา วิธีการนี้ใช้ได้ผลเพียงบางส่วนเท่านั้นสำหรับEDR ทุก ระบบ
Alert Pathway 2 – “การขจัดข้อมูลซ้ำซ้อน”
เทคนิค “การกำจัดข้อมูลซ้ำซ้อน” ใช้การเรียนรู้ของเครื่องเพื่อระบุการแจ้งเตือน EDR ต้นทาง ที่ซ้ำซ้อนและมีแนวโน้มที่จะเป็นส่วนหนึ่งของกิจกรรมเดียวกัน และสร้างการแจ้งเตือนเดียวภายใน Stellar Cyber เพื่อปรับปรุงระบบอัตโนมัติและประสิทธิภาพของนักวิเคราะห์
Alert Pathway 3 – “การเรียนรู้ของเครื่องตามเหตุการณ์”
เทคนิค “การเรียนรู้ของเครื่องจักรแบบอิงเหตุการณ์” เป็นเทคนิคที่ท้าทายทางเทคนิคมากที่สุด เนื่องจากเหตุการณ์และการแจ้งเตือน EDR ทั้งหมด จะถูกประมวลผลผ่านโมเดลการแจ้งเตือน ML ที่แตกต่างกัน ซึ่งสร้างการแจ้งเตือนใหม่ๆ ขึ้นมาภายใน Stellar Cyber จึงจำเป็นต้องมีการศึกษาข้อมูลอย่างละเอียดและกระบวนการปรับมาตรฐานที่แข็งแกร่งเพื่อให้สามารถนำไปใช้กับผู้ให้บริการ EDR ต่างๆ ได้
แนวทางของเราสู่ Universal EDR
หลักการชี้นำของเราในการออกแบบเฟรมเวิร์กนี้คือผลลัพธ์ด้านความปลอดภัยสำหรับผู้ใช้ปลายทาง เนื่องจากไม่มี EDR ที่เหมือนกัน ซึ่งหมายความว่าเราใช้ Alert Pathways ที่แตกต่างกันกับชุดย่อยของการแจ้งเตือนและเหตุการณ์ต่างๆ ในผลิตภัณฑ์ EDR ต่างๆ ตัวอย่างเช่น EDR 1 อาจมี 10% Passthrough, 50% Deduplication และ 40% Machine Learning Event-Based ในขณะที่ EDR 2 อัตราส่วนเหล่านั้นอาจเป็น 0%, 80% และ 20% ตามลำดับ
สำหรับบริษัทที่ไม่ได้สร้าง EDR (Endpoint Disruption Response) เองภายในองค์กร เราพบว่าตัวเองอยู่แถวหน้าของการวิจัยด้านความปลอดภัยบนอุปกรณ์ปลายทาง นี่เป็นเรื่องที่น่าตื่นเต้นสำหรับตัวมันเองในฐานะที่เป็นความก้าวหน้าครั้งสำคัญ แต่ที่สำคัญที่สุดคือความหมายที่จะเกิดขึ้นกับลูกค้าของเรา ยังมีงานอีกมากมายที่ต้องทำ และหากคุณสนใจที่จะเข้าร่วมทีมรักษาความปลอดภัยหรือทีมวิศวกรรมที่มีความสามารถของเรา โปรดตรวจสอบตำแหน่งงานว่างของ เรา
