یہ سیکورٹی کی کہانی کا حصہ ہے جہاں dashboardتسلی دینا بند کرو۔ آپ SIEM خرید سکتے ہیں۔ آپ EDR تعینات کر سکتے ہیں۔ آپ لاگز کو "کہیں" بھیج سکتے ہیں۔ اور پھر بھی، واقعات اب بھی ہوتے ہیں کیونکہ کوئی بھی کافی قریب سے نہیں دیکھ رہا ہے، کافی دیر تک، تیزی سے کام کرنے کے لیے کافی سیاق و سباق کے ساتھ۔ تو، سادہ الفاظ میں منظم کھوج اور جواب کیا ہے؟ یہ ایک سیکیورٹی سروس ہے جہاں ایک بیرونی ٹیم مسلسل آپ کے ماحول کی نگرانی کرتی ہے، خطرات کا شکار کرتی ہے، مشکوک سرگرمی کی تحقیقات کرتی ہے، اور ٹیکنالوجی اور انسانی تجزیہ کاروں کے امتزاج کا استعمال کرتے ہوئے حملوں (اکثر 24/7) کو روکنے میں مدد کرتی ہے۔ یہ اس کا عملی جواب ہے کہ MDR کیا ہے: پتہ لگانے کے علاوہ رسپانس، ایک جاری آپریشنل صلاحیت کے طور پر فراہم کیا جاتا ہے، نہ کہ کسی دوسرے آلے کے طور پر جسے آپ خود چلائیں۔ اگر آپ منظم پتہ لگانے اور رسپانس فراہم کرنے والوں کا جائزہ لے رہے ہیں، تو آپ عام طور پر ان مسائل میں سے ایک کو حل کرنے کی کوشش کر رہے ہیں: بہت زیادہ الرٹس، بہت کم ہنر مند تجزیہ کار، یا اس اعتماد کی کمی کہ "ہم اسے وقت پر پکڑ لیں گے۔" یہ بالکل وہی فرق ہے جو مینیجڈ ڈیٹیکشن اور رسپانس کو بند کرنے کے لیے ڈیزائن کیا گیا ہے۔
MDR کیا حاصل کرنے کی کوشش کر رہا ہے؟ #
آئیے نتائج کے بارے میں سخت رہیں۔ MDR کس چیز کے بارے میں نہیں ہے: مزید ٹیلی میٹری شامل کرنا، مزید لاگ جمع کرنا، یا مزید ٹکٹیں بنانا؟ مینیجڈ ڈٹیکشن اور رسپانس کیا ہے "کچھ مشتبہ ہوا" اور "ہم نے اس پر عمل کیا" کے درمیان وقت کو مختصر کرنا ہے۔
زیادہ تر تعریفیں ایک ہی ستون پر جمع ہوتی ہیں:
- مسلسل نگرانی (اکثر 24/7 کے طور پر بیان کیا جاتا ہے)
- فعال خطرے کا شکار
- ماہر تجزیہ کاروں کی طرف سے تحقیقات
- دھمکیوں پر قابو پانے کے لیے ہدایت یافتہ یا فعال جوابی اقدامات
یہی وجہ ہے کہ منظم پتہ لگانے اور رسپانس فراہم کرنے والوں کا سیکیورٹی سافٹ ویئر فروشوں سے مختلف انداز میں جائزہ لیا جاتا ہے۔ خریدار نہ صرف پلیٹ فارم خرید رہا ہے۔ وہ آپریشنل ایگزیکیوشن خرید رہے ہیں۔
اور اگر آپ قیادت کے لیے ایک صاف ستھرا ذہنی نمونہ چاہتے ہیں، تو MDR کیا ہے "ایس او سی کے نتائج بطور خدمت"، جس میں پتہ لگانے کے معیار اور جوابی رہنمائی کے لیے جوابدہی ہے۔
عام غلط تصورات #
سیکیورٹی ٹیموں کے ساتھ بات چیت کے دوران، وہی غلط فہمیاں بار بار ظاہر ہوتی ہیں۔ وہ غریب خرید ڈی کی قیادتcisآئنز، کمزور انضمام، اور غیر حقیقی توقعات۔ تو پہلے غلط فہمیوں کو ختم کر دیں۔
غلط فہمی نمبر 1: "ہمارے پاس پہلے سے ہی ٹولز ہیں، لہذا ہمارے پاس پہلے سے ہی MDR ہے۔" #
بے شک! لیکن اوزار ایک خدمت نہیں ہیں. ہر جگہ نصب ایک EDR ایجنٹ کا مطلب یہ نہیں ہے کہ کوئی شخص اختتامی مقامات اور شناختوں میں حملہ آور کے رویے کی سرگرمی سے تفتیش کر رہا ہے۔ لاگز سے بھرے SIEM کا مطلب یہ نہیں ہے کہ تصدیق شدہ واقعات موجود ہیں۔ مینیجڈ ڈٹیکشن اور رسپانس کے پیچھے یہی بنیادی امتیاز ہے: یہ آپریشنل کام ہے جو مسلسل انجام دیا جاتا ہے، نہ صرف ڈیٹا اکٹھا کرنا۔
غلط فہمی #2: "MDR صرف انتباہات کو آگے بڑھاتا ہے۔" #
اگر کسی وینڈر کا "MDR" بنیادی طور پر "ہم آپ کو مطلع کرتے ہیں"، تو آپ کو واقعی MDR نہیں مل رہا ہے جیسا کہ زیادہ تر معروف تعریفیں اس کی وضاحت کرتی ہیں۔ توقع کی جاتی ہے کہ MDR میں تحقیقات اور جوابی معاونت، اور اکثر خطرے کا شکار شامل ہوں، کیونکہ بغیر پیروی کے پتہ لگانا ہی خلاف ورزیاں سرخیاں بن جاتی ہیں۔
غلط فہمی #3: "MDR اندرونی سیکیورٹی کی ملکیت کی جگہ لے لیتا ہے۔" #
نہیں، یہاں تک کہ بہترین انتظام شدہ پتہ لگانے اور رسپانس فراہم کرنے والوں کو بھی اب بھی آپ کی ضرورت ہوتی ہے کہ آپ بڑھنے کے راستے، کاروباری اثرات، اثاثہ کی تنقید، اور کون خلل ڈالنے والے اقدامات کرنے کا مجاز ہے۔ ایم ڈی آر کیا ہے یہ آپ کی صلاحیت کی توسیع ہے، حکمرانی کا متبادل نہیں۔
غلط فہمی #4: "تمام منظم پتہ لگانے اور جواب فراہم کرنے والے ایک جیسے ہیں۔" #
وہ نہیں ہیں۔ کچھ اینڈ پوائنٹ ٹیلی میٹری پر بہت زیادہ فوکس کرتے ہیں، کچھ SIEM-سینٹرک آپریشنز پر، کچھ شناخت اور کلاؤڈ پر۔ رسپانس اتھارٹی بھی مختلف ہوتی ہے: کچھ فراہم کنندگان میزبانوں کو الگ کر سکتے ہیں یا اکاؤنٹس کو غیر فعال کر سکتے ہیں۔ دوسرے صرف اعمال کی سفارش کرتے ہیں۔ اگر آپ بروشر کی بنیاد پر خرید رہے ہیں، تو آپ واقعی وہ نہیں خرید رہے ہیں جو مینیجڈ ڈیٹیکشن اینڈ ریسپانس ہے، آپ مارکیٹنگ خرید رہے ہیں۔
ایم ڈی آر دراصل حملے کے دوران کیا کرتا ہے؟ #
اس کنکریٹ کو برقرار رکھنے کے لیے، یہاں ایک عام بہاؤ ہے جس کی بہت سے انتظام شدہ پتہ لگانے اور رسپانس فراہم کرنے والے پیروی کرتے ہیں:
- اختتامی پوائنٹس، شناختی نظام، نیٹ ورکس، اور کلاؤڈ لاگ سے سگنل جمع کریں۔
- تجزیات، قواعد، اور دھمکی آمیز انٹیلی جنس افزودگی کا استعمال کرتے ہوئے مشکوک نمونوں کا پتہ لگائیں۔
- اس بات کی توثیق کرنے کے لیے چھان بین کریں۔ بدنیتی پر مبنی (یا شور).
- روک تھام کے اقدامات کی رہنمائی (یا انہیں انجام دینے) کے ذریعے جواب دیں، پھر مدد کریں۔ تدارک اور بحالی.
وہ سلسلہ (ڈیٹیکٹ → توثیق → جواب) ایم ڈی آر کے پیچھے آپریشنل تعریف ہے، اور یہی وجہ ہے کہ مینیجڈ ڈیٹیکشن اور رسپانس کیا ہے SOC عملے کی رکاوٹوں کے عملی جواب کے طور پر تیزی سے پوزیشن میں ہے۔
MDR کون سے ڈیٹا ذرائع کی نگرانی کرتا ہے؟ #
اگر آپ چاہتے ہیں کہ MDR کام کرے، تو آپ کو اسے بامعنی ڈیٹا فیڈ کرنا چاہیے۔ ٹیلی میٹری کے بغیر MDR کیا ہے؟ زیادہ تر وعدے کرتے ہیں۔ عملی طور پر، منظم پتہ لگانے اور رسپانس فراہم کرنے والے ان ذرائع کے مجموعے کی نگرانی کرتے ہیں (مرکب فراہم کنندہ اور آپ کے فن تعمیر پر منحصر ہے):
اینڈ پوائنٹ ٹیلی میٹری (ورک سٹیشنز، سرورز، کنٹینرز)
عمل پر عمل درآمد، فائل میں تبدیلی، مسلسل کوششیں، مشتبہ چائلڈ پروسیس، اسناد ڈمپنگ پیٹرن، اور دیگر اختتامی نقطہ نظر، اکثر EDR ٹولنگ کے ذریعے جو MDR ٹیمیں کام کرتی ہیں۔
نیٹ ورک اور DNS سگنلز
آؤٹ باؤنڈ کنکشن، غیر معمولی منزلیں، DNS بے ضابطگیوں، پس منظر کی نقل و حرکت کے نشانات، اور کمانڈ اینڈ کنٹرول پیٹرن۔
شناخت اور رسائی کے نوشتہ جات
توثیق کے واقعات، ناممکن سفر، غیر معمولی ٹوکن کا استعمال، استحقاق میں اضافہ، اور پرخطر منتظم کا رویہ۔ کچھ MDR خدمات واضح طور پر شناخت کا احاطہ کرتی ہیں۔ خطرہ کا پتہ لگانا ان کی نگرانی کے دائرہ کار کے حصے کے طور پر۔
کلاؤڈ کنٹرول پلین اور ورک لوڈ لاگز
کلاؤڈ آڈٹ لاگز (API کالز، پالیسی میں تبدیلیاں)، کام کے بوجھ کی سرگرمی، اور مشکوک اسٹوریج یا کلیدی انتظام تک رسائی، کیونکہ حملہ آور اسناد حاصل کرنے کے بعد کلاؤڈ ماحول میں محور ہونا پسند کرتے ہیں۔
سیکیورٹی لاگز اور مرکزی تقریب کا ڈیٹا
بہت سے MDR ماڈلز ڈیٹا لیک یا SIEM طرز کے مجموعے پر انحصار کرتے ہیں تاکہ تمام ذرائع سے آپس میں ربط پیدا ہو۔
اہم سبق: MDR کے نتائج کا معیار اس بات پر بہت زیادہ منحصر ہے کہ آپ کیا انضمام کرتے ہیں۔ یہی وجہ ہے کہ سنجیدہ خریدار پوچھتے ہیں کہ ہمارے ماحول میں مینیجڈ ڈیٹیکشن اور رسپانس مانیٹرنگ کیا ہے، اور ویلیو حاصل کرنے کے لیے کم از کم ٹیلی میٹری کیا ضروری ہے۔
MDR بمقابلہ MSSP بمقابلہ EDR: جہاں لوگ الجھن میں پڑ جاتے ہیں۔ #
DevOps ٹیموں کے لیے، یہ سکیننگ چیزوں کو سست کرنے کے بارے میں نہیں ہے۔ یہ دوبارہ کام اور واقعات سے بچنے کے بارے میں ہے۔ ایک بڑا فائدہ ابتدائی رائے ہے۔ ڈویلپرز فوری طور پر حاصل کریں یہاں آپ کے بیانیے کو ہم آہنگ رکھنے کا ایک آسان طریقہ ہے:
- ای ڈی آر بنیادی طور پر ایک ٹول کیٹیگری ہے جو اختتامی نقطوں پر مرکوز ہے۔
- ایم ایس ایس پی اکثر وسیع تر منظم سیکورٹی آپریشنز پر توجہ مرکوز کرتا ہے، بعض اوقات نگرانی اور ٹکٹنگ پر بھاری۔
- MDR کیا ہے؟? ایک خدمت جو واضح طور پر مرکوز ہے۔ پتہ لگانے اور جواب نتائج، عام طور پر خطرے کے شکار اور تجزیہ کار کی زیر قیادت تحقیقات کے ساتھ۔
اور اگر کوئی دوبارہ پوچھے کہ XDR کے مقابلے میں MDR کیا ہے: XDR کو عام طور پر ایک ٹیکنالوجی نقطہ نظر کے طور پر بیان کیا جاتا ہے جو متعدد ٹیلی میٹری ذرائع کو یکجا کرتا ہے، جبکہ MDR ایک سروس ماڈل ہے جو XDR جیسی ٹولنگ کا استعمال کر سکتا ہے لیکن لوگوں کو فراہم کرتا ہے اور اس کے ارد گرد عمل کرتا ہے۔
مینیجڈ ڈیٹیکشن اور رسپانس فراہم کنندگان کا اندازہ کیسے لگایا جائے؟ #
اگر آپ منظم پتہ لگانے اور رسپانس فراہم کرنے والوں کو منتخب کر رہے ہیں، تو عملدرآمد کی تفصیلات پر توجہ مرکوز کریں، فیچر کی فہرستوں پر نہیں:
- کون تحقیقات کرتا ہے (اور ان کا تجزیہ کار کوریج ماڈل کیا ہے)؟
- وہ کیا جوابی اقدامات کر سکتے ہیں، اور کن منظوریوں کے تحت؟
- انہیں کن ٹیلی میٹری ذرائع کی ضرورت ہے، اور کون سے انضمام مقامی ہیں؟
- وہ جھوٹے مثبت کو کم کرنے کے لیے خطرے کے شکار اور توثیق کو کیسے سنبھالتے ہیں؟
آپ کی تنظیم میں مینیجڈ ڈٹیکشن اور رسپانس کیا ہے اس کا انحصار آپ کے ماحول، آپ کے رسپانس اتھارٹی کے ماڈل، اور فراہم کنندہ آپ کے ورک فلو میں کتنی اچھی طرح سے ضم کرتا ہے۔
پتہ لگانے کی گہرائی اور ردعمل کے سیاق و سباق پر ایک حتمی نوٹ #
بہت سے انتظام شدہ کھوج اور جوابی پروگراموں کی ایک بار بار آنے والی حد الرٹس کی کمی نہیں ہے، بلکہ اعلیٰ اعتماد کے ابتدائی سگنلز کی کمی ہے۔ MDR ٹیمیں ان کو موصول ہونے والے ڈیٹا کے معیار اور وقت پر بہت زیادہ انحصار کرتی ہیں۔ جب پتہ لگانے میں تاخیر ہوتی ہے، تو ردعمل پہلے سے ہی رد عمل ہوتا ہے۔ یہ وہ جگہ ہے جہاں ابتدائی رویے کے تجزیہ اور سیاق و سباق کی ذہانت پر توجہ مرکوز کرنے والے تکمیلی نقطہ نظر متعلقہ بن جاتے ہیں۔ پلیٹ فارمز جیسے زیجینی سافٹ ویئر لائف سائیکل اور رن ٹائم میں جلد از جلد بدنیتی پر مبنی رویے کا پتہ لگانے پر توجہ مرکوز کریں، اعلیٰ مخلصی کے سگنل تیار کریں جو سیکیورٹی آپریشنز اور MDR ٹیمیں یکساں طور پر استعمال کر سکتے ہیں۔
ایک ساتھ استعمال کیا جاتا ہے، ابتدائی پتہ لگانے کی صلاحیتیں اور منظم پتہ لگانے اور جواب دینے سے رہنے کے وقت کو کم کرنے، تفتیش کی درستگی کو بہتر بنانے، اور جوابی کارروائیوں کو مزید بہتر بنانے میں مدد ملتی ہے۔cisive، خاص طور پر ایسے ماحول میں جہاں جدید حملے ایپلی کیشن کا غلط استعمال، شناخت سے سمجھوتہ، اور انفراسٹرکچر کا غلط استعمال۔
