Para sa mga security vendor at sa mga nasa XDR partikular na merkado, mayroong architectural axis ng build vs. integrate. Sa isang dulo, mayroon ka "Buuin / Kunin ang Lahat" – mga vendor na patayo na pinagsama at gustong maging buong security stack ng isang enterprise. Sa kabilang dulo, mayroon ka “Isama sa Lahat” – mga vendor na bumuo ng isang bahagi o API na nilalayong isama sa isang mas malaking arkitektura. Mayroong mga kalamangan at kahinaan para sa parehong mga diskarte. Ang kampo na "Bumuo / Kunin ang Lahat" ay maaaring mahigpit na ikonekta ang lahat ng mga bahagi upang lumikha ng isang magkakaugnay na karanasan sa seguridad, ngunit ginagawa nila ito sa gastos ng pagiging nakatuon at malamang na hindi magiging pinakamahusay na lahi. Ang kampo na "Isama ang Lahat" ay natutuwa sa kanilang binibigyang pansin at maaaring bumuo ng isang kamangha-manghang produkto na may kaunting saklaw, ngunit nangangailangan ng isang partikular na mamimili na ilagay ang mga ito sa kanilang mas malawak na portfolio ng seguridad.
Sa Stellar Cyber, ginagawa namin ang diskarte na nasa isang lugar sa gitna ng architectural axis na ito - isang balanse sa pagitan ng mga built-in na kakayahan (kapansin-pansin NDR, SIEM, TIP, at ang XDR AI engine) at mga kakayahan na aming pinagsamahan. Ang isa sa pinakamahalagang klase ng produkto na aming pinagsamahan ay ang EDR. Inanunsyo namin kamakailan ang Unang Pangkalahatang EDR ng Industriya, na kung saan ay ang kakayahang magdala ng anumang EDR o EDR sa aming platform, at hindi lang namin sila sinusuportahan, ngunit ginagawa naming mas mahusay ang mga ito habang tinitiyak ang antas ng katapatan anuman ang napiling EDR. Sa madaling salita, binibigyang-daan nito ang mga user na makuha ang pinakamahusay sa mga built-in at pagsasama-sama ng mga diskarte – nag-aalok ito ng isang Pangkalahatang pagsasama ng EDR kung saan ang produktong isinasama ay mahigpit na isinama na ito ay kumikilos na parang ito ay isang katutubong bahagi ng platform, ngunit ang platform ay nananatiling bukas.
Isa sa mga pinakamalaking teknikal na hamong aming naranasan noong binubuo namin ang kakayahang ito ay kung paano patuloy na makabuo ng mga high-fidelity alert anuman ang EDR vendor. Inilalarawan namin ang aming teknikal na pamamaraan bilang "Alert Pathways" o ang mga pamamaraan sa pagproseso na kinakailangan upang lumipat mula sa pinagmulang data ng EDR patungo sa isang high-fidelity alert sa Stellar Cyber. Magkakaiba ang bawat EDR , na siyang naging batayan sa pangangailangang bumuo ng isang balangkas upang epektibong mapangasiwaan ang bawat EDR.
Ang framework at Alert Pathways na inilarawan sa ibaba ay madaling magagamit na mga tampok sa backend sa Stellar Cyber Open XDR Platform.
Alerto Pathway 1 – “Passthrough Enrichment”
Ang pamamaraang "Passthrough Enrichment" ay kumukuha ng mga alerto mula sa mga sistema ng pinagmulang EDR , pagkatapos ay pinapayaman ang mga alertong iyon gamit ang karagdagang threat intelligence at iniaayon ang mga ito sa MITRE ATT&CK . Sa isang banda, ito ay parang pagdaragdag ng ilang karagdagang konteksto pagkatapos muling iulat ang balita, ngunit maaaring maging lubos na epektibo kung ang ilang partikular na alerto sa pinagmulang EDR ay may pinakamataas na katapatan. Gayunpaman, sa aming pananaliksik, ang pamamaraang ito ay bahagyang naaangkop lamang para sa anumang partikular na EDR.
Alerto Pathway 2 – “Deduplication”
Ang pamamaraang "Deduplication" ay gumagamit ng Machine Learning upang matukoy ang mga source EDR alert na duplicative at malamang na bahagi ng iisang aktibidad, at bumubuo ng iisang alerto sa loob ng Stellar Cyber upang mapabuti ang automation at performance ng analyst.
Alerto Pathway 3 – “Machine Learning Event-Based”
Ang pamamaraang "Machine Learning Event-Based" ang pinakamahirap sa teknikal na aspeto dahil lahat ng source EDR events at alerts ay pinoproseso sa pamamagitan ng iba't ibang ML alert models na bumubuo ng mga bagong nobelang alerts sa loob ng Stellar Cyber. Nangangailangan ito ng makabuluhang pag-aaral ng datos at isang matibay na proseso ng normalization upang maisagawa sa lahat ng EDR vendor.
Ang aming Diskarte sa Universal EDR
Ang aming gabay na prinsipyo para sa pagdidisenyo ng balangkas na ito ay ang resulta ng seguridad para sa end-user. Dahil walang EDR na pareho, nangangahulugan ito na naglalapat kami ng iba't ibang Mga Pathway ng Alerto sa iba't ibang subset ng mga alerto at kaganapan sa iba't ibang produkto ng EDR. Halimbawa, ang EDR 1 ay maaaring may 10% Passthrough, 50% Deduplication, at 40% Machine Learning Event-Based, habang para sa EDR 2 ang mga ratio na iyon ay maaaring 0%, 80%, at 20% ayon sa pagkakabanggit.
Para sa isang kumpanyang hindi nagtatayo ng in-house EDR, nasa bingit kami ng pananaliksik sa seguridad na nakabatay sa endpoint. Ito ay kapana-panabik sa loob ng bansa para sa mismong hangganan, ngunit higit sa lahat dahil sa kahulugan nito para sa aming mga customer. Marami pang kailangang gawin, at kung interesado kang sumali sa aming mahuhusay na security o engineering team, pakitingnan ang aming mga bakanteng trabaho.
