Kai įmonė perka kibernetinio saugumo sprendimą, dažniausiai išgirsta tris santrumpas: EDR, XDR ir MDR. Tiekėjai jas vartoja kaip savaime suprantamas, o vadovui ar finansų direktoriui lieka klausimas – ar mums reikia visų trijų, ar užtenka vieno, ir kuo tai skiriasi nuo antiviruso, už kurį jau mokame.
Klausimas aktualus ne tik dėl technikos. TIS2 ir DORA reikalavimai įpareigoja įmones ne tik turėti apsaugą, bet ir įrodyti, kad incidentai aptinkami ir į juos reaguojama. Vien įdiegta programa to neįrodo – reikia, kad kas nors stebėtų, ką ji rodo, ir reaguotų, kai ji rodo raudonai.
Šiame straipsnyje paaiškiname, ką iš tikrųjų reiškia kiekviena santrumpa, kur baigiasi vieno sprendimo galimybės ir prasideda kito, ir kaip rinktis įmonei, kurioje dirba apie 50 žmonių ir nėra atskiro saugumo skyriaus.
Antivirusas ir EDR – ne tas pats
Klasikinis antivirusas lygina failus su žinomų kenkėjiškų programų parašais ir blokuoja tai, ką atpažįsta. Tai veikia prieš masines, seniai žinomas grėsmes. Nebeveikia prieš užpuolikus, kurie naudoja teisėtus sistemos įrankius – PowerShell, nuotolinio valdymo programas, įprastus administravimo skriptus – ir nė vieno failo, kurį būtų galima atpažinti pagal parašą.
EDR (Endpoint Detection and Response) žiūri ne į failus, o į elgesį. Agentas darbo vietoje ar serveryje fiksuoja procesus, tinklo jungtis, registro pakeitimus ir ieško įtartinų sekų: pavyzdžiui, Word dokumentas paleidžia komandų eilutę, kuri parsisiunčia failą ir bando išjungti rezervinį kopijavimą. Kiekvienas žingsnis atskirai atrodo nekaltai, bet seka – ne.
Antra svarbi EDR dalis yra atsakas (response). Konsolė leidžia izoliuoti kompiuterį nuo tinklo, nutraukti procesą, atstatyti pakeistus failus ir pamatyti visą įvykių grandinę: nuo kur prasidėjo, kas buvo paliesta. Antivirusas to nerodo – jis tik praneša „aptikta ir pašalinta“.
Praktinė pasekmė: EDR generuoja daug daugiau informacijos nei antivirusas. Jei niekas tos informacijos neskaito, EDR tampa tiesiog brangesniu antivirusu.
XDR – kai vieno įrenginio nepakanka
XDR (Extended Detection and Response) išplečia tą patį principą už darbo vietos ribų. Į bendrą vaizdą sujungiami duomenys iš el. pašto, tapatybės sistemos (pavyzdžiui, Microsoft Entra ID), tinklo įrenginių, debesijos paslaugų ir serverių.
Kodėl tai svarbu? Tipinis šiuolaikinis incidentas prasideda ne kompiuteryje. Pirmiausia darbuotojas gauna laišką, tada įveda slaptažodį į netikrą prisijungimo langą, tada užpuolikas prisijungia prie Microsoft 365 iš kitos šalies, ir tik po kelių dienų kažkas atsiranda darbo vietoje. EDR mato tik paskutinį žingsnį. XDR sujungia visus keturis į vieną įvykį ir rodo, kad tai – viena ataka, o ne keturi nesusiję perspėjimai.
Bitdefender GravityZone, SentinelOne ir CrowdStrike šiandien siūlo XDR lygmenį kaip EDR plėtinį. Skirtumas tarp jų – kokius šaltinius jungia be papildomų darbų ir kiek reikia konfigūruoti. Apie tai rašome atskirame straipsnyje apie šių trijų platformų pasirinkimą.
Svarbus niuansas: XDR dar labiau padidina informacijos srautą. Kuo daugiau šaltinių, tuo daugiau koreliacijų, tuo daugiau perspėjimų, kuriuos reikia kažkam įvertinti.
MDR – žmonės, kurie žiūri 24/7
MDR (Managed Detection and Response) – tai ne technologija, o paslauga. Tiekėjo saugumo analitikų komanda stebi EDR arba XDR platformos perspėjimus visą parą, atskiria tikrus incidentus nuo klaidingų, reaguoja (izoliuoja įrenginį, blokuoja paskyrą) ir praneša jums tik tada, kai reikia jūsų sprendimo.
Kodėl tai atskira paslauga? Nes užpuolikai dirba naktimis ir savaitgaliais – būtent tada, kai IT specialistas nežiūri į konsolę. Šifravimo atakos dažniausiai paleidžiamos penktadienio vakarą, kad iki pirmadienio ryto būtų užšifruota kuo daugiau. EDR, kuris penktadienį vakare parodo raudoną perspėjimą niekam nematant, incidento nesustabdo.
MDR gali teikti pati platformos gamintoja arba jūsų IT priežiūros partneris, naudojantis gamintojo įrankiais. Abu variantai turi prasmę; skiriasi tai, kiek paslaugos tiekėjas pažįsta jūsų aplinką. Gamintojo analitikas mato tik perspėjimus; partneris, kuris prižiūri jūsų serverius, žino, kad naktinis buhalterijos serverio skriptas – ne ataka, o mėnesio uždarymas.
Kaip rinktis pagal įmonės dydį ir komandą
Ne dydis lemia pasirinkimą, o tai, kas ir kada skaitys perspėjimus. Mūsų praktikoje įmones galima suskirstyti maždaug taip.
Iki 20 darbuotojų, IT specialisto nėra
Reikia EDR su valdoma priežiūra. Konsolė jums nereikalinga – reikia, kad kažkas ją stebėtų ir reaguotų. Čia MDR dažniausiai įeina į IT priežiūros paslaugą, o ne perkamas atskirai.
20–100 darbuotojų, vienas IT specialistas arba išorinis partneris
Tipinė 50 darbuotojų įmonė. IT specialistas užsiėmęs kasdiene pagalba ir neturi laiko (ir dažnai specializacijos) tirti saugumo perspėjimų. Reikia EDR, o jei naudojamas Microsoft 365 – XDR su tapatybės ir pašto signalais, plius MDR iš partnerio. Vidinis specialistas lieka sprendimų priėmėju, ne budėtoju.
Virš 100 darbuotojų arba reguliuojama veikla
Kai yra TIS2 ar DORA įpareigojimai, XDR tampa būtinybe, nes reikia įrodyti, kad incidentai aptinkami visoje infrastruktūroje, ne tik kompiuteriuose. MDR su aiškiu SLA ir incidentų ataskaitomis – tai, ką audito metu rodysite.
| Klausimas | Antivirusas | EDR | XDR | MDR |
|---|---|---|---|---|
| Blokuoja žinomus virusus | Taip | Taip | Taip | Taip |
| Mato įtartiną elgesį | Ne | Taip | Taip | Taip |
| Jungia paštą, tapatybę, serverius | Ne | Ne | Taip | Priklauso nuo platformos |
| Kas reaguoja naktį | Niekas | Jūsų IT | Jūsų IT | Tiekėjo analitikai |
Ką apima MDP CLOUD priežiūra
Mūsų IT priežiūros paslaugoje saugumo stebėjimas nėra atskira eilutė. Kiekvienai darbo vietai ir serveriui diegiame EDR arba XDR agentą (pagal kliento aplinką – Bitdefender GravityZone, SentinelOne arba CrowdStrike), perspėjimus stebi mūsų komanda, o reakcija prasideda nuo 30 minučių.
Konkrečiai tai reiškia:
- agentų diegimas ir politikų konfigūravimas pagal įmonės darbo pobūdį, kad nebūtų blokuojamos teisėtos programos;
- perspėjimų peržiūra ir atskyrimas nuo klaidingų – klientas gauna tik tai, kas reikalauja jo dėmesio;
- įrenginio izoliavimas ir paskyros blokavimas, kai incidentas patvirtintas, dar prieš skambinant;
- mėnesinė ataskaita apie aptiktus įvykius, kurią galima pridėti prie TIS2 ar DORA dokumentacijos;
- derinimas su rezervinėmis kopijomis, kad po incidento būtų iš ko atstatyti.
Serveriams tas pats galioja per serverių priežiūros paslaugą, o mūsų cloud serveriai nuomojami jau su įdiegta GravityZone apsauga.
Nuo ko pradėti
- Pasitikrinkite, kas šiuo metu įdiegta: antivirusas ar EDR. Jei nežinote, greičiausiai antivirusas.
- Atsakykite į klausimą, kas pamatys perspėjimą šeštadienį 3 val. nakties. Jei atsakymas „niekas“, trūksta ne technologijos, o MDR.
- Surašykite, kur gyvena jūsų duomenys: kompiuteriai, serveriai, Microsoft 365, debesijos paslaugos. Jei ne tik kompiuteriuose – svarstykite XDR.
- Jei veikiate reguliuojamame sektoriuje, patikrinkite, ar dabartinis sprendimas duoda ataskaitas, kurias galėsite parodyti auditui.
- Susisiekite su mumis – įvertinsime esamą aplinką ir pasiūlysime, kas įeina į IT priežiūros paslaugą be papildomų priedų, o Bitdefender GravityZone ar kitos platformos licencijas parinksime pagal jūsų įrenginių skaičių.
