Организации, использующие решение MDR, могут немедленно сократить время обнаружения (и, следовательно, время реагирования) с типичных 280 дней до всего лишь нескольких минут, тем самым значительно снизив влияние события.

Но сокращение времени обнаружения с месяцев до нескольких минут — не единственное преимущество. Организации также могут:

- Улучшите состояние безопасности и станьте более устойчивым к потенциальным атакам за счет оптимизации конфигурации безопасности и устранения мошеннических систем.

- Выявляйте и останавливайте скрытые изощренные угрозы с помощью непрерывного управляемого поиска угроз.

- Более эффективно реагируйте на угрозы и восстанавливайте конечные точки до исправного состояния с помощью управляемого реагирования и управляемого исправления.

- Перенаправьте персонал с реактивного и повторяющегося реагирования на инциденты на более стратегические проекты.

Отличие MDR от EDR

Обнаружение конечных точек и ответ (EDR) являются частью набора инструментов, используемых поставщиками MDR. EDR записывает и сохраняет поведение и события на конечных точках и передает их в автоматизированные системы ответов и анализа на основе правил.

Когда аномалия обнаруживается, она отправляется в службу безопасности для исследования человеком. EDR дает группам безопасности возможность использовать больше, чем просто индикаторы компрометации (IoC) или сигнатуры, чтобы лучше понять, что происходит в их сетях.

Со временем предложения EDR стали более сложными, включая такие технологии, как машинное обучение и поведенческий анализ, а также возможность интеграции с другими сложными инструментами. Многим внутренним группам безопасности не хватает ресурсов и времени для полного использования своих систем EDR, что может сделать организацию менее защищенной, чем она была до приобретения решения EDR.

MDR решает эту проблему, используя человеческий опыт, отработанные процессы и анализ угроз. MDR предназначен для того, чтобы помочь организациям получить защиту конечных точек корпоративного уровня, не неся расходов на персонал корпоративного уровня безопасности или центр управления безопасностью (SOC).

Отличие MDR от MSSP

Поставщики управляемых услуг безопасности (MSSP) являются предшественниками MDR. MSSP обычно обеспечивают широкий мониторинг сети на наличие событий и отправку подтвержденных предупреждений другим инструментам или группе безопасности, а также ряд других услуг, таких как управление технологиями, обновления, соответствие требованиям и управление уязвимостями, но обычно не реагируют активно на угрозы.

Заказчик несет ответственность за выполнение тех действий, которые могут потребовать специальных знаний, которые не часто поддерживаются собственными силами. В результате клиенты MSSP должны также привлекать дополнительных консультантов или поставщиков для устранения последствий и исправления.

Услуги MDR сосредоточены на быстром обнаружении новых угроз и реагировании на них. Кроме того, MDR предоставляет возможности смягчения последствий и исправления и может принести немедленную пользу при минимальных инвестициях.

Отличие MDR от SIEM

Управление информацией и событиями безопасности (SIEM) — это широкая категория технологий. Все SIEM начинают со сбора данных из многих сетевых источников и других устройств безопасности и их анализа для обнаружения аномалий, которые могут сигнализировать о подозрительной активности. После этого возможности SIEM сильно различаются. Некоторые из них являются технологическими решениями, в то время как другие больше похожи на управляемые службы обработки событий и оповещения.

Общим для всех SIEM является то, что их клиенты сообщают о проблемах с решением проблем, обнаруженных их данными SIEM, потому что они сталкиваются с трудностями в понимании результатов. Почти 45% пользователей SIEM говорят, что им не хватает внутреннего опыта, чтобы в полной мере использовать свое решение SIEM. SIEM также могут быть дорогими и ресурсоемкими. MDR, с другой стороны, характеризуются небольшим размером сети и быстрой окупаемостью.

Решения MDR включают в себя широкий спектр услуг, поэтому перед началом поиска обязательно ознакомьтесь с текущими возможностями вашей организации, чтобы вы могли выбрать решение, которое дополнит ваши существующие инвестиции в безопасность. Вот пять ключевых вопросов, которые следует задать поставщикам MDR, когда вы начнете свое исследование:

Вопрос 1. Какими знаниями обладают аналитики, работающие с MDR?

Выбранное вами решение должно привнести новые навыки и зрелость, не требуя от вас найма дополнительного персонала. Ищите поставщика, готового обеспечить передачу знаний.

Вопрос 2. Есть ли у вашей службы MDR быстрый доступ к данным и системам, которые необходимы, чтобы быть эффективной?

Эффективность вашего решения MDR будет в значительной степени зависеть от его доступа к обширным и глубоким данным, необходимым для выполнения его работы, и оно должно иметь эти данные в режиме реального времени. Облачное решение, скорее всего, будет иметь лучший доступ к нужным данным.

Вопрос 3. Как команда MDR следит за последними угрозами, нацеленными на организации?

Аналитики безопасности обращают внимание не только на технологические возможности противников. Они изучают культурные, геополитические и лингвистические факторы, чтобы получить как можно более полное представление о текущих методах, тактике и процедурах, используемых для нацеливания на бизнес. Немногие предприятия имеют эти навыки в штате, поэтому выбирайте поставщика MDR, у которого они есть.

Вопрос 4. Как поставщик MDR будет общаться с вашей командой?

В какой-то момент команда MDR передаст свой рабочий процесс вашей команде. Это должно быть выполнено через центральный коммуникационный узел, такой как единая панель консоли, чтобы гарантировать отсутствие новых точек трения или необходимости изучения новых систем. Передача должна происходить без какого-либо замедления реакции вашей команды.

Вопрос 5. Ваш сервис работает круглосуточно?

Подавляющее большинство организаций не обеспечивают круглосуточной службы безопасности. Покрытие MDR должно работать круглосуточно, ведь пока законопослушные граждане спят, злоумышленники вовсю работают.

Важно отметить, что не только вредоносное ПО и вирусы влияют на работу сайта, а и многие другие факторы. Но, какова бы ни была причина, по которой страница сайта не открывается, например проблемы с базой данных или сервером, DDoS-атаки или вирусы, важно контролировать доступность сайта для посетителя. Ситуация, при которой пользователь не может открыть страницу вашего сайта, отрицательно влияет на поднятие сайта в поиске (поисковой выдаче) и оставляет негативное впечатление о вашем сайте у посетителя. Вы теряете потенциальных клиентов, а значит и деньги. Используйте хороший сервис, например BAILRY для постоянного контроля (проверки) доступности сайта. Сервис предоставляет как бесплатную регулярную (периодическую) проверку доступности сайта, так и платную услугу - для постоянного контроля доступности сайта.

Компания Mainton - разработка и тестирование программного обеспечения под заказ, SEO и реклама в интернете с 2004 года.