รุ่นปัจจุบันสำหรับ โลกไซเบอร์ เสีย ประกอบด้วยการจัดหาและปรับใช้เครื่องมือแบบสแตนด์อะโลนจำนวนมากโดยแต่ละตัวมีคอนโซลของตัวเองเพื่อวิเคราะห์บันทึกหรือทราฟฟิกและตรวจจับความผิดปกติที่อาจเป็นภัยคุกคาม ในรูปแบบนี้นักวิเคราะห์ความปลอดภัยแต่ละคนจะต้องสื่อสารกับนักวิเคราะห์คนอื่น ๆ เพื่อพิจารณาว่าการตรวจจับแต่ละเครื่องมือของแต่ละเครื่องมือ (ซึ่งแต่ละอย่างอาจดูไม่เป็นพิษเป็นภัย) สามารถเชื่อมโยงกับการตรวจจับอื่น ๆ จากเครื่องมืออื่น ๆ เพื่อเปิดเผยการโจมตีที่ซับซ้อนได้
แบบจำลองนี้บังคับให้องค์กรต้องสร้างกองซ้อนความปลอดภัยที่ซับซ้อนซึ่งประกอบด้วย SIEM, SOAR, EDR, NDR และอื่น ๆ เพื่อวัตถุประสงค์ในการเป็นเครื่องมือขององค์กรการระบุภัยคุกคามการตอบสนองต่อภัยคุกคามและการจัดการความเสี่ยง การได้มาซึ่งเครื่องมือเหล่านี้ทั้งหมดและการจัดการใบอนุญาตนั้นซับซ้อนและมีราคาแพงและความสัมพันธ์ด้วยตนเองที่จำเป็นในการเปรียบเทียบการตรวจจับของเครื่องมือแต่ละตัวทำให้เกิดช่องว่างมากมายในโครงสร้างพื้นฐานด้านความปลอดภัยโดยรวม
นักวิเคราะห์มักถูกโจมตีด้วยผลบวกที่ผิดพลาดจากระบบเหล่านี้เช่นกันซึ่งทำให้เกิด "ความเหนื่อยล้าในการแจ้งเตือน" และความไม่พอใจในงาน แม้แต่องค์กรที่ประกาศว่าตนเองพอใจกับสิ่งที่มีอยู่ SIEM และเครื่องมืออื่น ๆ จะยอมรับว่าเวลาและพลังงานที่พวกเขาทุ่มเทลงไปในการยืนหยัดโครงสร้างพื้นฐานด้านความปลอดภัยแบบหลายเครื่องมือนั้นไม่ได้ให้ผลลัพธ์ที่จำเป็น
กรณีสำหรับ XDR
XDRหรือ eXtended การตรวจจับและการตอบสนองได้กลายเป็นคำจำกัดความที่ครอบคลุมสำหรับเทคโนโลยีใดๆ ที่ทำการตรวจจับและตอบสนอง เนื่องจากในคำย่อ X นั้นเป็นตัวแปร แม้ว่า X จะหมายถึง “Endpoint+” หรือ “Network+” ก็ตาม แต่นั่นไม่ได้คำนึงถึงปัญหาที่องค์กรกำลังเผชิญอยู่ในปัจจุบัน เช่น เครื่องมือที่แยกส่วน ข้อมูลที่ไม่สัมพันธ์กัน และความเหนื่อยล้าจากการแจ้งเตือน เป้าหมายทั้งหมดของ XDR จุดประสงค์คือเพื่อแก้ไขปัญหาความเจ็บปวดนี้ ดังนั้น X จึงต้องหมายถึง “ทุกสิ่ง” ซึ่งในที่นี้ “ทุกสิ่ง” หมายถึงแนวทางการใช้แพลตฟอร์มเพื่อครอบคลุมพื้นที่การโจมตีทั้งหมดผ่านการตรวจจับและการตอบสนอง
แนวทางการใช้แพลตฟอร์มนี้สามารถแก้ไขโมเดลที่ล้มเหลวในปัจจุบันได้ โดยการเปลี่ยนเครื่องมือที่กระจัดกระจายให้เป็นชุดเครื่องมือที่รวมเป็นหนึ่งเดียว เปลี่ยนข้อมูลที่ไม่สัมพันธ์กันให้เป็นตัวแทนที่สัมพันธ์กันของพื้นผิวการโจมตี และเปลี่ยนความเหนื่อยล้าจากการแจ้งเตือนให้เป็นความอุ่นใจ คำถามสำคัญทางด้านสถาปัตยกรรมคือ เทคโนโลยีจะบรรลุเป้าหมายนี้ได้อย่างไร มีสองประเภทของ XDR วันนี้: เปิดกว้างและเป็นธรรมชาติ
เปิดเทียบกับเนทีฟ XDR
- Open XDR ถูกส่งผ่านสถาปัตยกรรมแบบเปิดที่สามารถใช้ประโยชน์จากการส่งข้อมูลทางไกลและความสามารถในการตอบสนองของเครื่องมือรักษาความปลอดภัยที่มีอยู่ผ่านพื้นผิวการโจมตี
- พื้นเมือง XDR ส่งมอบจากชุดเครื่องมือรักษาความปลอดภัยของผู้จำหน่ายรายเดียวที่ให้การตรวจวัดทางไกลและการตอบสนองผ่านพื้นผิวการโจมตี
โดยไม่คำนึงถึงแนวทางการออกแบบสถาปัตยกรรมของ XDR แพลตฟอร์มดังกล่าวต้องมีคุณสมบัติทางเทคนิคตามข้อกำหนดต่อไปนี้จึงจะได้รับการพิจารณา XDR:
- ความสามารถในการปรับใช้ - สถาปัตยกรรมไมโครเซอร์วิสบนคลาวด์สำหรับความยืดหยุ่นความพร้อมใช้งานและความยืดหยุ่นในการปรับใช้
- การหลอมรวมข้อมูล - ข้อมูลที่ปรับให้เป็นมาตรฐานและสมบูรณ์ในพื้นผิวการโจมตีทั้งหมดรวมถึงเครือข่ายคลาวด์ปลายทางแอปพลิเคชันและข้อมูลประจำตัว
- ความสัมพันธ์ - การตรวจจับที่สัมพันธ์กันความเที่ยงตรงสูงในเครื่องมือรักษาความปลอดภัยหลายชนิด
- การตอบสนองอัจฉริยะ - คลิกเดียวหรือตอบกลับอัตโนมัติจากแพลตฟอร์มเดียวกัน
ความเข้าใจผิดที่พบบ่อยเกี่ยวกับ โอเพนซอร์ส กับ เนทีฟ XDR คือพวกมันเป็นประเภทที่แยกจากกันโดยสิ้นเชิง XDRพวกเขาไม่ใช่ XDR แพลตฟอร์มสามารถเปิดได้อย่างสมบูรณ์ และเป็นเนทีฟบางส่วนได้ ตัวอย่างเช่น XDR เวที สามารถมีเครื่องมือในตัวบางอย่างจากผู้ขายในขณะที่รวมเข้ากับเครื่องมือที่มีอยู่จากผู้ขายรายอื่นอย่างเปิดเผย สิ่งนี้ช่วยให้กลยุทธ์ Composable Security ความสามารถในการใช้ประโยชน์จากเครื่องมือที่มีอยู่ในขณะที่ให้ลูกค้าเลิกใช้งานบางส่วนเมื่อใดและที่ใดที่พวกเขาเห็นว่าเหมาะสม
องค์ประกอบของ Open เทียบกับ Native XDR แนวทางที่แพลตฟอร์มนำมาใช้เป็นเพียงวิธีการเพื่อให้บรรลุเป้าหมาย กล่าวคือ แพลตฟอร์มจะดำเนินการตรวจจับและตอบสนองต่อภัยคุกคามได้อย่างไรตลอดทั้งระบบ ผู้ซื้อแพลตฟอร์ม XDR จำเป็นต้องมองแนวทางการออกแบบสถาปัตยกรรมเป็นเพียงเครื่องมือเพื่อให้บรรลุเป้าหมาย และตัดสินใจเลือกสิ่งที่ดีที่สุดสำหรับองค์กรของตน
อุดมคติ XDR เปิดแล้ว
จะมีองค์กรบางแห่งที่ไม่มีปัญหาในการย้ายกลุ่มความปลอดภัยทั้งหมดไปยังผู้ขายรายเดียวและใช้ระบบปิด พื้นเมือง XDR เวที. นอกจากนี้ยังมีองค์กรบางแห่งที่ให้ความสำคัญกับการครอบคลุมพื้นที่การโจมตีทั้งหมดน้อยลงและต้องการเพียงการตรวจจับและตอบสนองสำหรับจุดสิ้นสุดของตนเท่านั้น ในกรณีนี้ควรติดตามไฟล์ เนทีฟที่ใช้ EDR XDR เวที.
อย่างไรก็ตามสำหรับองค์กรส่วนใหญ่แล้วไฟล์ Open XDR เวที ต้องพิจารณาเรื่องนี้เป็นสิ่งสำคัญที่สุด ทำไม? เพราะไม่มีผู้ให้บริการรายใดรายเดียวที่จะสามารถสร้างหรือได้มาซึ่งเครื่องมือคลาวด์ เครื่องมือปลายทาง เครื่องมือเครือข่าย เครื่องมือระบุตัวตน ฯลฯ ที่ดีที่สุดได้ ดังนั้น ต้องใช้เฉพาะเครื่องมือ Native เท่านั้น XDR แพลตฟอร์มนั้นจะไม่ใช่แพลตฟอร์มที่ดีที่สุด นอกจากนี้ มีความเป็นไปได้สูงมากที่องค์กรนั้นจะมี แล้ว ลงทุนเงินทุนจำนวนมากและความพยายามในการปรับใช้เครื่องมือรักษาความปลอดภัยที่มีอยู่ - ไม่ต้องการละทิ้งการลงทุนเหล่านั้นดังนั้นการปิด พื้นเมือง XDR โซลูชันจะไม่โต้ตอบกับเครื่องมือเหล่านั้นและจะไม่จับภาพพื้นผิวการโจมตีทั้งหมดในองค์กรนั้น ถ้าไฟล์ Open XDR เวที มีคุณลักษณะเฉพาะบางอย่างที่ครอบคลุมพื้นที่บางส่วนของพื้นผิวการโจมตีสำหรับองค์กรที่กำลังเติบโต แต่จะต้องเปิดก่อน
ท้ายที่สุดแล้ว หากองค์กรต้องการกำหนดและดำเนินการตามกลยุทธ์ด้านความปลอดภัยแบบ Composable Security และได้รับผลประโยชน์ทั้งหมด XDRข้อกำหนดทางเทคนิคที่ส่งมอบผ่านแพลตฟอร์มอย่างสมบูรณ์ Open XDR เวที เป็นวิธีเดียวที่ทำได้จริง
