ይህ የደህንነት ታሪኩ ክፍል ነው dashboardማጽናኛ መሆን አቁም። SIEM መግዛት ይችላሉ። EDRን ማሰማራት ይችላሉ። ምዝግብ ማስታወሻዎችን ወደ "አንድ ቦታ" መላክ ይችላሉ። ሆኖም ግን፣ ማንም ሰው በፍጥነት እርምጃ ለመውሰድ በቂ አውድ ስላለው በቂ፣ ለረጅም ጊዜ በቅርበት ስለማይከታተል አሁንም ክስተቶች ይከሰታሉ። ታዲያ፣ የሚተዳደር ምርመራ እና ምላሽ በግልፅ አነጋገር ምንድን ነው? የውጭ ቡድን አካባቢዎን ያለማቋረጥ የሚከታተልበት፣ አደጋዎችን የሚያድንበት፣ አጠራጣሪ እንቅስቃሴዎችን የሚመረምርበት እና ጥቃቶችን (ብዙውን ጊዜ 24/7) በቴክኖሎጂ እና በሰው ተንታኞች ጥምረት የሚቆጣጠርበት የደህንነት አገልግሎት ነው። ይህ MDR ምንድን ነው የሚለው ተግባራዊ መልስ ነው፡- ምርመራ እና ምላሽ፣ እንደ ቀጣይ የአሠራር ችሎታ የሚቀርብ፣ እራስዎን ማስተዳደር ያለብዎት ሌላ መሳሪያ አይደለም። የሚተዳደሩ የማወቂያ እና የምላሽ አቅራቢዎችን እየገመገሙ ከሆነ፣ ብዙውን ጊዜ ከእነዚህ ችግሮች አንዱን ለመፍታት እየሞከሩ ነው፡ በጣም ብዙ ማንቂያዎች፣ በጣም ጥቂት የተካኑ ተንታኞች ወይም "በጊዜው እንይዛቸዋለን" የሚል በራስ መተማመን ማጣት። ይህ በትክክል የሚተዳደር ማወቂያ እና ምላሽ ለመዝጋት የተነደፈው ክፍተት ነው።
MDR ምን ለማሳካት እየሞከረ ነው? #
ስለ ውጤቶቹ ጥብቅ እንሁን። MDR ስለምን አይደለም፡ ተጨማሪ ቴሌሜትሪ መጨመር፣ ተጨማሪ ምዝግብ ማስታወሻዎችን መሰብሰብ ወይም ተጨማሪ ቲኬቶችን መፍጠር? Managed Detection and Response ምንድን ነው? “አጠራጣሪ ነገር ተከስቷል” እና “እርምጃ ወስደናል” መካከል ያለውን ጊዜ ማሳጠር ነው።
አብዛኛዎቹ ትርጓሜዎች በተመሳሳይ ምሰሶዎች ላይ ይገናኛሉ፡
- ቀጣይነት ያለው ክትትል (ብዙውን ጊዜ 24/7 ተብሎ ይገለጻል)
- ፕሮአክቲቭ ዛቻ አደን
- በባለሙያ ተንታኞች የተደረገ ምርመራ
- ስጋቶችን ለመቆጣጠር የሚመሩ ወይም ንቁ የምላሽ እርምጃዎች
ለዚህም ነው የሚተዳደሩ የመመርመሪያ እና የምላሽ አቅራቢዎች ከደህንነት ሶፍትዌር አቅራቢዎች በተለየ መንገድ የሚገመገሙት። ገዢው መድረክን ብቻ ሳይሆን የአሠራር አፈፃፀምን እየገዛ ነው።
እና ለአመራር ንፁህ የአእምሮ ሞዴል ከፈለጉ፣ MDR ምንድን ነው? የጥራት እና የምላሽ መመሪያን ለመለየት ተጠያቂነት ያለው "የSOC ውጤቶች እንደ አገልግሎት" ነው።
የተለመዱ የተሳሳቱ አመለካከቶች #
ከደህንነት ቡድኖች ጋር በሚደረጉ ውይይቶች ወቅት ተመሳሳይ አለመግባባቶች ደጋግመው ይታያሉ። ይህም ደካማ የሆነ የግዢ ሂደትን ያስከትላል።cisአየኖች፣ ደካማ ውህደቶች እና ከእውነታ የራቁ ግምቶች። ስለዚህ በመጀመሪያ የተሳሳቱ አመለካከቶችን እንግደል።
የተሳሳተ ግንዛቤ #1፡- “አስቀድመን መሳሪያዎች አሉን፣ ስለዚህ MDR አለን።” #
በእርግጥም! ነገር ግን መሳሪያዎች አገልግሎት አይደሉም። በየቦታው የተጫነ የEDR ወኪል አንድ ሰው በመጨረሻ ነጥቦች እና ማንነቶች ላይ የአጥቂ ባህሪን በንቃት እየመረመረ ነው ማለት አይደለም። በሎጎች የተሞላ SIEM የተረጋገጡ ክስተቶች ይያዛሉ ማለት አይደለም። ይህ የሚተዳደር ምርመራ እና ምላሽ ከሚለው በስተጀርባ ያለው ዋና ልዩነት ነው፡ የውሂብ መሰብሰብ ብቻ ሳይሆን ያለማቋረጥ የሚከናወን የአሠራር ሥራ ነው።
የተሳሳተ ግንዛቤ #2፡ “MDR ማንቂያዎችን ያስተላልፋል።” #
የአንድ ሻጭ “MDR” በመሠረቱ “እናሳውቅዎታለን” ከሆነ፣ አብዛኛዎቹ ታዋቂ ትርጓሜዎች እንደሚገልጹት MDR ምን እንደሆነ በትክክል አያገኙም። MDR የምርመራ እና የምላሽ ድጋፍን እና ብዙውን ጊዜ የዛቻ አደንን እንደሚያካትት ይጠበቃል፣ ምክንያቱም ያለ ክትትል የሚደረግ ምርመራ ጥሰቶች ዋና ዋና ዜናዎች ይሆናሉ።
የተሳሳተ ግንዛቤ #3፡ “MDR የውስጥ ደህንነት ባለቤትነትን ይተካል” #
አይ። በጣም ጥሩ ቁጥጥር የሚደረግባቸው የመመርመሪያ እና የምላሽ አቅራቢዎች እንኳን የእድገት መንገዶችን፣ የንግድ ተፅእኖን፣ የንብረት ወሳኝነትን እና ማን አስጨናቂ እርምጃዎችን እንዲወስድ ስልጣን እንዳለው እንዲገልጹ ይፈልጋሉ። MDR ምንድን ነው የአቅምዎ ማራዘሚያ ነው፣ የአስተዳደር ምትክ አይደለም።
የተሳሳተ ግንዛቤ #4፡ “ሁሉም የሚተዳደሩ የመመርመሪያ እና የምላሽ አቅራቢዎች አንድ ናቸው።” #
እነሱ አይደሉም። አንዳንዶቹ በከፍተኛ ደረጃ በዋና ነጥብ ቴሌሜትሪ ላይ ያተኩራሉ፣ ሌሎች ደግሞ በSIEM ላይ በተመሰረቱ ስራዎች ላይ፣ ሌሎች ደግሞ በማንነት እና በደመና ላይ ያተኩራሉ። የምላሽ ባለስልጣንም ይለያያል፡ አንዳንድ አቅራቢዎች አስተናጋጆችን መለየት ወይም መለያዎችን ማሰናከል ይችላሉ፤ ሌሎች ደግሞ እርምጃዎችን ብቻ ይመክራሉ። በብሮሹር ላይ ተመስርተው የሚገዙ ከሆነ፣ የሚተዳደር ዲቴክሽን እና ምላሽ የሚለውን በትክክል እየገዙ አይደለም፣ ግብይት እየገዙ ነው።
MDR በጥቃት ወቅት ምን ያደርጋል? #
ይህንን ተጨባጭ ለማድረግ፣ ብዙ የሚተዳደሩ የማወቂያ እና የምላሽ አቅራቢዎች የሚከተሏቸው የተለመዱ ሂደቶች እነሆ፡
- ምልክቶችን ከመጨረሻ ነጥቦች፣ ከማንነት ስርዓቶች፣ ከአውታረ መረቦች እና ከደመና ምዝግብ ማስታወሻዎች ይሰብስቡ።
- ትንታኔዎችን፣ ደንቦችን እና የስጋት መረጃ ማበልጸጊያዎችን በመጠቀም አጠራጣሪ ቅጦችን ያግኙ።
- መሆኑን ለማረጋገጥ ምርመራ ያድርጉ ተንኮል አዘል (ወይም ጫጫታ).
- የመያዣ እርምጃዎችን በመምራት (ወይም እነሱን በማከናወን)፣ ከዚያም በመርዳት ምላሽ ይስጡ ማስተካከያ እና ማገገም.
ያ ሰንሰለት (ዲቴክት → ማረጋገጫ → ምላሽ) MDR ምንድን ነው የሚለው በስተጀርባ ያለው የአሠራር ፍቺ ነው፣ እና ለዚህም ነው የሚተዳደር ምርመራ እና ምላሽ የሚለው ነገር ለSOC የሰራተኞች ገደቦች ተግባራዊ መልስ ሆኖ የተቀመጠው።
MDR የሚከታተላቸው የትኞቹን የውሂብ ምንጮች ነው? #
MDR እንዲሰራ ከፈለጉ ትርጉም ያለው መረጃ መስጠት አለብዎት። MDR ያለ ቴሌሜትሪ ምንድን ነው? በአብዛኛው ተስፋዎች። በተግባር፣ የሚተዳደሩ የመመርመሪያ እና የምላሽ አቅራቢዎች የእነዚህን ምንጮች ጥምረት ይከታተላሉ (ድብልቅነቱ በአቅራቢው እና በአርክቴክቸርዎ ላይ የተመሰረተ ነው)፡
የመጨረሻ ነጥብ ቴሌሜትሪ (የስራ ጣቢያዎች፣ ሰርቨሮች፣ ኮንቴይነሮች)
የሂደት አፈፃፀም፣ የፋይል ለውጦች፣ የጽናት ሙከራዎች፣ አጠራጣሪ የህፃናት ሂደቶች፣ የማረጋገጫ ማስወገጃ ቅጦች እና ሌሎች የመጨረሻ ነጥብ ባህሪያት፣ ብዙውን ጊዜ የMDR ቡድኖች በሚሰሩት የEDR መሳሪያዎች አማካኝነት።
የአውታረ መረብ እና የዲኤንኤስ ምልክቶች
ወደ ውጭ የሚደረጉ ግንኙነቶች፣ ያልተለመዱ መድረሻዎች፣ የዲኤንኤስ ያልተለመዱ ነገሮች፣ የጎን እንቅስቃሴ ዱካዎች እና የትዕዛዝ እና የቁጥጥር ቅጦች።
የማንነት እና የመዳረሻ ምዝግብ ማስታወሻዎች
የማረጋገጫ ክስተቶች፣ የማይቻል ጉዞ፣ ያልተለመደ የቶከን አጠቃቀም፣ የልዩ መብት መጨመር እና አደገኛ የአስተዳደር ባህሪ። አንዳንድ የMDR አገልግሎቶች ማንነትን በግልጽ ይሸፍናሉ ስጋትን መለየት እንደ የክትትል ወሰን አካል።
የደመና መቆጣጠሪያ-ፕላን እና የስራ ጫና ምዝግብ ማስታወሻዎች
የደመና ኦዲት ምዝግብ ማስታወሻዎች (የኤፒአይ ጥሪዎች፣ የፖሊሲ ለውጦች)፣ የስራ ጫና እንቅስቃሴ እና አጠራጣሪ ማከማቻ ወይም የቁልፍ አስተዳደር መዳረሻ፣ ምክንያቱም አጥቂዎች ምስክርነቶችን ካገኙ በኋላ ወደ ደመና አካባቢዎች መዘዋወር ይወዳሉ።
የደህንነት ምዝግብ ማስታወሻዎች እና ማዕከላዊ የክስተት ውሂብ
ብዙ የMDR ሞዴሎች በተለያዩ ምንጮች መካከል ትስስር ለመፍጠር በመረጃ ሐይቅ ወይም በSIEM አይነት ውህደት ላይ ይተማመናሉ።
ዋናው ትምህርት፡ የMDR ውጤቶች ጥራት በእጅጉ የሚወሰነው እርስዎ በሚያዋህዱት ነገር ላይ ነው። ለዚህም ነው ጠንቃቃ ገዢዎች በአካባቢያችን ውስጥ የሚተዳደር የክትትል እና የምላሽ ክትትል ምንድነው እና እሴት ለማግኘት የሚያስፈልገው ዝቅተኛው የቴሌሜትሪ መጠን ምንድነው ብለው የሚጠይቁት።
MDR ከ MSSP ጋር ሲነጻጸር EDR፡ ሰዎች ግራ የሚጋቡበት ቦታ #
ለDevOps ቡድኖችይህ ቅኝት ነገሮችን ስለማዘግየት አይደለም። እንደገና ስለማድረግ እና ስለ ክስተቶች ማስወገድ ነው። አንድ ዋና ጥቅም ቀደምት ግብረመልስ ነው። ገንቢዎች ወዲያውኑ ያገኛሉ ትረካዎን ወጥነት ያለው ለማድረግ ቀላል መንገድ ይኸውና፡
- ኢ.ዲ. በዋናነት በመጨረሻ ነጥቦች ላይ ያተኮረ የመሳሪያ ምድብ ነው።
- ኤምኤስኤስፒ ብዙውን ጊዜ ሰፋ ባሉ የሚተዳደሩ የደህንነት ስራዎች ላይ ያተኩራል፣ አንዳንድ ጊዜ በክትትል እና በቲኬት አሰጣጥ ላይ ከባድ ነው።
- MDR ምንድን ነው?? በግልጽ ያተኮረ አገልግሎት መለየት እና ምላሽ ውጤቶች፣ በተለይም በማስፈራራት አደን እና ተንታኞች በሚመሩ ምርመራዎች።
አንድ ሰው MDR ከ XDR ጋር ሲነጻጸር ምን እንደሆነ እንደገና ቢጠይቅ፡ XDR በተለምዶ በርካታ የቴሌሜትሪ ምንጮችን የሚያጣምር የቴክኖሎጂ አቀራረብ ተብሎ ይገለጻል፣ MDR ደግሞ XDR የሚመስል መሳሪያ ሊጠቀም የሚችል ነገር ግን ሰዎችን የሚያቀርብ እና በዙሪያው የሚሰራ የአገልግሎት ሞዴል ነው።
የሚተዳደሩ የክትትል እና የምላሽ አቅራቢዎችን እንዴት መገምገም ይቻላል? #
የሚተዳደሩ የማወቂያ እና የምላሽ አቅራቢዎችን እየመረጡ ከሆነ፣ በአፈጻጸም ዝርዝሮች ላይ ያተኩሩ፣ የባህሪ ዝርዝሮችን ሳይሆን፡
- ማን ይመረምራል (እና የእነሱ የትንታኔ ሽፋን ሞዴል ምንድነው)?
- ምን አይነት ምላሽ ሊሰጡ ይችላሉ፣ እና በምን አይነት ማረጋገጫዎች መሰረት?
- ምን ዓይነት የቴሌሜትሪ ምንጮችን ይፈልጋሉ፣ እና የትኞቹ ውህደቶች ተወላጅ ናቸው?
- የውሸት አወንታዊ ነገሮችን ለመቀነስ የስጋት አደን እና ማረጋገጫን እንዴት ይቋቋማሉ?
በድርጅትዎ ውስጥ የሚተዳደር ማወቂያ እና ምላሽ ምን እንደሆነ የሚወሰነው በአካባቢዎ፣ በምላሽ ሰጪ ባለስልጣን ሞዴልዎ እና አቅራቢው በስራ ፍሰቶችዎ ውስጥ ምን ያህል በጥሩ ሁኔታ እንደሚዋሃድ ነው።
ስለ ምርመራ ጥልቀት እና የምላሽ አውድ የመጨረሻ ማስታወሻ #
ብዙ የሚተዳደሩ የክትትል እና ምላሽ ፕሮግራሞች ተደጋጋሚ ገደቦች የማንቂያዎች እጥረት ሳይሆን ከፍተኛ በራስ መተማመን ያላቸው የመጀመሪያ ምልክቶች አለመኖር ነው። የMDR ቡድኖች በሚቀበሉት መረጃ ጥራት እና ጊዜ ላይ በእጅጉ ይመረኮዛሉ። ምርመራው ዘግይቶ ሲከሰት፣ ምላሽ ቀድሞውኑ ምላሽ ሰጪ ነው። ይህ በቅድመ ባህሪ ትንተና እና በአውድ ብልህነት ላይ ያተኮሩ ተጓዳኝ አቀራረቦች ተገቢ የሚሆኑበት ቦታ ነው። እንደ ዚጌኒ በሶፍትዌሩ የህይወት ዑደት እና በማስኬድ ጊዜ ተንኮል አዘል ባህሪን በተቻለ ፍጥነት በመለየት ላይ ያተኩሩ፣ ይህም በደህንነት ስራዎች እና በMDR ቡድኖች ሊጠቀሙባቸው የሚችሉ ከፍተኛ ታማኝነት ያላቸውን ምልክቶች ይፈጥራል።
አንድ ላይ ጥቅም ላይ ሲውሉ፣ የቅድመ ምርመራ ችሎታዎች እና የተቀናጀ የክትትል እና ምላሽ የጊዜ ቆይታን ለመቀነስ፣ የምርመራ ትክክለኛነትን ለማሻሻል እና የምላሽ እርምጃዎችን የበለጠ ለማድረግ ይረዳሉ።cisበተለይም በአካባቢያቸው ዘመናዊ ጥቃቶች የመተግበሪያ አላግባብ መጠቀምን፣ የማንነት ጥሰትን እና የመሠረተ ልማት አላግባብ መጠቀምን ማዋሃድ።
