Əsas fikir
MDR xidmətini adı ilə deyil, əhatə etdiyi telemetriya, monitorinq saatı, eskalasiya qaydası, cavab səlahiyyəti, bərpa yardımı və hesabat öhdəlikləri ilə qiymətləndirin.
MDR xidməti nələri birləşdirir?
Managed Detection and Response (MDR) təşkilatın təhlükəsizlik monitorinqi, xəbərdarlıqların araşdırılması və insidentə cavab işinin bir hissəsini xarici xidmət kimi təqdim edir. İşə son cihazlardan və digər razılaşdırılmış mənbələrdən telemetriya toplamaq, xəbərdarlıqları mütəxəssislərin yoxlaması, təhlükə axtarışı, məsul şəxslərə bildiriş və cavab tədbirləri daxil ola bilər. Əhatə provayderə, paketə və müştəri mühitinə görə dəyişir; MDR adı konkret məhsulları, məlumat mənbələrini və müdaxilə səlahiyyətini müəyyən etmir. Razılaşdırılmış araşdırmada zərərli proqramın quruluşu və işləmə prinsipi də təhlil oluna bilər; nəticələr komprometasiya əlamətlərini və davranış nümunələrini müəyyənləşdirməyə, müdafiəni təkmilləşdirməyə kömək edir.
Aşkarlama və monitorinq
Razılaşdırılmış son cihazlar, şəbəkə avadanlığı, bulud xidmətləri, hesab və giriş idarəetmə sistemlərindən siqnalları toplayın. Monitorinq saatlarını, əhatə olunan təşkilat mühitlərini və aktivləri, məlumatın saxlanma müddətini və məlumatı çatışmayan vacib mənbələri yazılı müəyyən edin.
Xəbərdarlıqların ilkin qiymətləndirilməsi və təhlili
Analitik xəbərdarlığı kontekstdə yoxlayır, əlaqəli fəaliyyəti araşdırır, prioriteti müəyyən edir və növbəti addımı tövsiyə edir. Yanlış xəbərdarlıqlar üzrə araşdırmanın necə bağlandığını, hansı məlumatların saxlandığını və hansı halların müştəriyə ötürüldüyünü razılaşdırın.
Təhlükə axtarışı və müdafiənin təkmilləşdirilməsi
Proaktiv təhlükə axtarışı mövcud aşkarlama qaydalarının üzə çıxarmadığı fəaliyyəti fərziyyə və mövcud məlumatlar əsasında araşdırır. Nəticələr yeni aşkarlama qaydaları, siyasət dəyişiklikləri və ya cavab təlimatları üçün əsas ola bilər. Heç bir axtarış bütün təhlükələri aşkar etmir.
Cavab və bərpa
Provayder təhlükənin yayılmasını məhdudlaşdıra və araşdırma apara, yalnız tövsiyələr verə və ya müştəri ilə birgə işləyə bilər. Hesabın bloklanmasını, cihazın təcridini, sistem dəyişikliyini, rəqəmsal sübutların toplanmasını və bərpanı kimin təsdiqlədiyini əvvəlcədən razılaşdırın.
Daxili komanda, MDR və hibrid model
MDR kiçik və orta komandaya analitiklərin, monitorinq infrastrukturunun və təhlükə axtarışı üzrə mütəxəssislərin imkanlarından istifadə etməyə kömək edə bilər. Bu, öz alətlərini və növbə heyətini saxlamaq yükünü azalda bilər, lakin bütün xərcləri aradan qaldırmır. Müştəri aktivlərin siyahısını, məsul şəxsləri, lazımi girişləri, biznes qərarlarını və provayderlə əlaqəni təmin edir. Daxili modeldə təşkilat sistemlərin kontekstini və idarəetməni özündə saxlayır, lakin növbə heyəti və ixtisaslı mütəxəssislər tələb olunur. Hibrid modeldə provayder texniki araşdırma aparır, təşkilatın insidentə cavab üzrə məsul şəxsi isə qərarları və biznesə təsiri idarə edir.
| Model | Güclü tərəf | Razılaşdırılmalı məsələ |
|---|---|---|
| Daxili | Yerli sistemləri və biznes prioritetlərini bilən daxili komanda. | Heyət, növbələr, alətlər, təlim və əsas heyəti əvəz edən əməkdaşlar. |
| İdarə olunan | Xarici analitik və monitorinq imkanına çıxış. | Mənbələr, saatlar, eskalasiya, cavab səlahiyyəti və əlavə ödənişlər. |
| Hibrid | Xarici texniki təcrübə, təşkilat daxilində məsul şəxslər və biznes konteksti. | İşin ötürülməsi, məsuliyyət bölgüsü, məlumat mübadiləsi və böhran zamanı qərar verən şəxs. |
İnsidentlər, tələblərə uyğunluq və bərpa
MDR monitorinq qeydləri, insidentin xronologiyası və təhlükəsizlik tədbirlərinin işlədiyini göstərən məlumatlarla auditə hazırlığı dəstəkləyə bilər. Provayderin işini daxili cavab planı ilə əlaqələndirin: təsiri kimin qiymətləndirdiyini, ehtiyat nüsxələri kimin yoxladığını, zəiflikləri kimin aradan qaldırdığını və xidmətin bərpasını kimin təsdiqlədiyini müəyyən edin. Araşdırma və cavab müddətini, təkrarlanan insidentləri və xidmət xərclərini izləyərək prosesi təkmilləşdirin.
Siqnaldan insident qeydinə
MDR analitiki siqnalı yoxlayır, əhatəni və mümkün riski qeyd edir, eskalasiya üçün təyin edilmiş şəxsə məlumat verir. Müştəri insidentin idarəçisini təyin edir və biznes xidmətlərinə təsiri təsdiqləyir.
Təsiri məhdudlaşdırmaq
Əvvəlcədən verilmiş səlahiyyətlər daxilində provayder təhlükənin yayılmasını məhdudlaşdıra və ya tədbir tövsiyə edə bilər. Görülən tədbiri, təsdiqi, vaxtı və əlavə təsirləri qeydə alın.
Araşdırmaq və sübut toplamaq
Əlaqəli son cihazların, şəbəkənin, bulud xidmətlərinin, hesab və giriş idarəetmə sistemlərinin məlumatlarını yoxlayın. Komprometasiya indikatorlarını (IoC) və davranışı kontekstdə qiymətləndirin. Toplama üsulunu, çatışmayan mənbələri, qeyri-müəyyənlikləri və sübutların kimdə saxlandığını, kimə ötürüldüyünü qeydə alma qaydasını razılaşdırın.
Bərpa edib hesabat vermək
Səlahiyyətli daxili komanda bərpa və xidmətin yenidən işə salınması barədə qərar verir. Provayder xronologiyanı, təhlili, müşahidə edilmiş rəqəmsal izləri, cavab tədbirlərini, qalan riskləri və tövsiyələri təqdim edir. Hər tədbir üçün məsul şəxs və tamamlanma meyarı təyin edin.
MDR xidmətini müqayisə etmək
Təklifləri eyni insident ssenarisi ilə müqayisə edin. Monitorinq saatlarını və növbə heyətinin harada işlədiyini, cihaz və məlumat əhatəsini, qoşulma prosesini, eskalasiya müddətinin necə ölçüldüyünü, ilkin təhlili, təhlükə axtarışını və rəqəmsal araşdırma imkanlarını yoxlayın. Təcrid səlahiyyətini, bərpa dəstəyini və hesabat formatını yazılı razılaşdırın.
Telemetriya və inteqrasiya
Son cihaz agentlərinin, şəbəkə avadanlığının, bulud audit jurnallarının, hesab və giriş idarəetmə sistemlərinin, elektron poçtun və digər mənbələrin qoşulmasını yoxlayın. Lazımi lisenziyaları və inteqrasiya modullarını, saxlanma müddətini, məlumatın yerləşdiyi yeri və jurnal axını kəsildikdə bunun necə aşkarlandığını soruşun.
Mütəxəssis təhlili və təhlükə axtarışı
Xəbərdarlıq axınını kim emal edir, analitik hansı konteksti yoxlayır, təhlükə axtarışı nə qədər tez-tez və hansı səlahiyyətlə aparılır, nəticələr müştəriyə necə çatdırılır? Şəxsi və şirkəti müəyyən edən məlumatlar çıxarılmış hesabat nümunəsi istəyin.
Eskalasiya və qərar səlahiyyəti
Əsas və ehtiyat əlaqə şəxslərini, əlaqə kanalını, cavab müddətinin tərifini, müştəri təsdiqi tələb olunan addımları, fövqəladə səlahiyyətləri və məhdudiyyətləri yazılı müəyyən edin. “Aktiv cavab”ın təcrid, silmə, konfiqurasiya dəyişikliyi, bərpa və ya yalnız tövsiyə mənasını daşıdığını dəqiqləşdirin.
Hesabat, tələblərə uyğunluq və qiymət
Hesabatların tezliyini, insident xronologiyasına və ilkin sübutlara çıxışı, audit üçün verilən materialları, xidmətin sərhədlərini və saxlanma müddəti bitdikdə məlumatın silinməsini müəyyən edin. Lisenziya, xidmətə qoşulma, əlavə mənbələr, insident zamanı yardım üçün əvvəlcədən razılaşdırılmış xidmət haqqı və insidentdən sonrakı dəstəyin qiymətə daxil olub-olmadığını müqayisə edin.
Xcitium MDR əhatəsini təsdiqləmək
Xcitium Managed MDR son cihazların fəaliyyətini və siyasət pozuntularını mütəxəssislərin 24/7 monitorinqi ilə izləyir; təhlükə axtarışı, insidentə cavab və rəqəmsal araşdırmanı birləşdirir. Analitiklər təhdidlər barədə məlumatlardan və xəbərdarlıqların ilkin təhlilindən istifadə edir, $MFT, Windows hadisə jurnalları, reyestr və brauzer tarixçəsi kimi rəqəmsal izlər üzrə hesabat hazırlayırlar. Şəbəkə və bulud mənbələrini birləşdirmək üçün Xcitium Complete (XDR) imkanlarını da nəzərdən keçirin. Qoşulma zamanı əhatəni, giriş və müdaxilə səlahiyyətlərini razılaşdırın.
MDR daxili kibertəhlükəsizlik komandasını əvəz edir?
Adətən tam yox. MDR monitorinq və araşdırma yükünün razılaşdırılmış hissəsini götürə bilər, amma təşkilat aktivlərini, insident rəhbərliyini, biznes qərarlarını, hüquqi öhdəlikləri və bərpa təsdiqini saxlayır. Müqavilədə bölgünü dəqiqləşdirin.
MDR yanlış xəbərdarlıqları aradan qaldırırmı?
Analitik siqnalı cihaz, istifadəçi və hadisə konteksti ilə yoxlayır, təsdiqlənmiş nəticəni qeyd edir və təkrarlanan yanlış siqnalların səbəbini araşdırır. Bu nəticələr qaydaları tənzimləməyə və vacib hadisələrə üstünlük verməyə kömək edir.
MDR tələblərə uyğunluğu təmin edirmi?
MDR jurnallar, hesabatlar və təhlükəsizlik tədbirlərinin işlədiyini göstərən məlumatlarla auditə dəstək ola bilər. Tələblərə uyğunluq öhdəliyi təşkilatda qalır və konkret standartın bütün tələbləri ayrıca yoxlanmalıdır.
MDR insidentə avtomatik cavab verirmi?
Bəzi xidmətlər əvvəlcədən verilmiş icazə ilə təhlükənin yayılmasını məhdudlaşdırır, digərləri tövsiyə verir və ya müştəri ilə birgə işləyir. Sistemləri kimin təcrid etdiyini, giriş hüquqlarını və ya giriş məlumatlarını kimin yenilədiyini, sübutları kimin topladığını və xidmətləri kimin bərpa etdiyini, hansı addım üçün təsdiq lazım gəldiyini dəqiqləşdirin.