Əsas fikir
Alət kateqoriyasından əlavə faktiki inteqrasiyanı və qərar səlahiyyətini yoxlayın. Siqnalın təhlil, tədbir və bağlanmaya qədər təhvilini sınaqdan keçirin.
Alət deyil, görüləcək işdən başlayın
Təhdid idarəsi xidmət və alətlərin aşkarlama, araşdırma, təhlil və cavab işlərini birləşdirməsidir. Növbətçi komandanın hansı siqnala baxdığı, qərarı kimin verdiyi və dəyişikliyi kimin təsdiqlədiyi aydın olmalıdır. Penetrasiya testi nəzarətləri müəyyən razılaşdırılmış əhatədə sınaqdan keçirir; insidentə cavab planı isə real komprometasiya baş verəndə qərar və əlaqələndirməni idarə edir. Bu ikisini davamlı zəiflik skanı ilə eyni iş saymayın.
Test və insidentə cavab
Pen testdə bulud, şəbəkə və tətbiq əhatəsini, yazılı icazəni, vaxtı, qadağan olunmuş texnikaları, məlumatların qorunmasını və dayandırma şərtlərini razılaşdırın. Nəticə təsdiqlənmiş tapıntı, təsir, sübut və düzəliş tövsiyəsi verməlidir; təkrar test düzəlişin effektivliyini yoxlayır. Insident cavabında ransomware, zərərli proqram və uzunmüddətli müdaxilə ehtimalları üçün rolları, sübutun saxlanmasını, sistemin izolyasiyası səlahiyyətini, hüquq və rəhbərliklə əlaqəni, ehtiyat bərpa addımlarını əvvəlcədən yazın. Xarici komanda yalnız təhvil və eskalasiya qaydaları bəlli olduqda boşluğu doldurur.
EDR, XDR, SIEM və SOAR-ın fərqi
Son nöqtələrdə aşkarlama və cavab (EDR), genişləndirilmiş aşkarlama və cavab (XDR), təhlükəsizlik məlumatı və hadisə idarəetməsi (SIEM) və təhlükəsizliyin orkestrasiyası, avtomatlaşdırılması və cavabı (SOAR) fərqli əsas işlərə yönəlir. Kateqoriyalar üst-üstə düşə bilər, imkanlar isə tətbiqdən asılıdır. Avtomatlaşdırma qeyri-dəqiq siqnalı etibarlı qərara çevirmir; məlumat keyfiyyəti və tədbir səlahiyyəti ayrıca yoxlanmalıdır.
| Vasitə | Əsas vəzifə | Nəyi yoxlamalı |
|---|---|---|
| EDR | Son nöqtə sübutları, araşdırma və cavab | Dəstəklənən cihazlar və icazəli tədbirlər |
| XDR | Bağlı təhlükəsizlik mənbələri arasında əlaqələndirmə | Faktiki inteqrasiyalar və boşluqlar |
| SIEM | Mərkəzi jurnal toplama, əlaqələndirmə və xəbərdarlıqlar | Mənbə keyfiyyəti, saxlanma və qaydaların yenilənməsi |
| SOAR | İş axınlarının əlaqələndirilməsi və avtomatlaşdırılması | Səlahiyyətlər, təsdiqlər və uğursuz tədbirdən bərpa |
İdarə olunan xidmət və seçim meyarları
Daxildə ekspertiza və ya növbətçi heyət çatmırsa MSSP/MDR monitorinq, təhdid axtarışı, texnologiyaların idarə edilməsi və ya ekspert dəstəyi verə bilər. Xidmətin hansı alətləri əhatə etdiyini, xəbərdarlıqdan insidentə keçidi, kimin dəyişiklik edə bildiyini, məlumatın harada saxlandığını, lisenziya və subpodratçıları dəqiqləşdirin. SIEM, firewall, antivirus, NDR, EDR və bulud alətləri arasında inteqrasiyanı sınaqdan keçirin. Demo zamanı yüksək riskli siqnal üzrə ilkin təhlil, məsul şəxsin təyin edilməsi, təhlükənin yayılmasının məhdudlaşdırılması, bərpa və bağlanma addımlarını göstərin; qısa cavab müddəti vədini sübut və ölçü ilə yoxlayın.