Главная мысль
Начните с фактического охвата, источников данных, полномочий на реагирование, эскалации и примера отчёта, а не с названия услуги.
Разница между инструментом и услугой
EDR и XDR — преимущественно платформы, которые собирают телеметрию, связывают события и помогают реагировать. MDR превращает эти возможности в услугу с мониторингом, расследованием и согласованным реагированием специалистов. MSSP может предоставлять более широкий набор работ: например, управление межсетевыми экранами, мониторинг журналов, работу с уязвимостями и поддержку соблюдения требований. Один поставщик может предлагать несколько таких услуг; фактические границы определяются договором, а не названием продукта.
Свяжите термины с обязанностями
MDR обычно сосредоточена на поиске, расследовании и реагировании на угрозы; MSSP может также охватывать мониторинг, оповещения, управление средствами защиты и задачи соответствия требованиям. Под MXDR часто подразумевают более широкую телеметрию XDR и управляемое реагирование экспертов, но общепринятого определения охвата нет. TDR — общий термин для обнаружения угроз и реагирования, а не единый продукт или стандартный пакет услуг. Письменно выясните, какие устройства, данные, часы работы, аналитики и действия стоят за каждым термином.
Сравнивайте MDR и MSSP на одном сценарии
Подозрительная учётная запись входит на сервер и запускает необычный процесс на конечном устройстве. Попросите каждого поставщика объяснить, какие сигналы поступят, кто исследует оповещение, кто вправе заблокировать учётную запись и изолировать устройство, когда свяжутся с вами и какие доказательства и итоговый отчёт предоставят. Один и тот же сценарий выявляет пробелы в предложениях с названиями «только мониторинг», MDR и MXDR.
| Критерий | Уточните для MDR | Уточните для MSSP |
|---|---|---|
| Основная работа | Обнаружение, расследование, проактивный поиск угроз и согласованное реагирование | Мониторинг, оповещения и конкретный список управляемых средств защиты |
| Решения по инциденту | Правила изоляции, блокировки и согласования с клиентом | Кто расследует и кто выполняет реагирование |
| Охват | Фактический список источников: устройства, облако, сеть, системы управления учётными записями и доступом, почта | Управляемые системы и устройства, часы смен и исключения |
Ответственность клиента и поставщика
Услуга может взять на себя часть работы с инцидентами, но организация по-прежнему управляет своими активами, бизнес-приоритетами, юридическими обязанностями и решениями о восстановлении. Кто изучает сигнал, с кем связывается поставщик, какие действия он может выполнить автоматически и когда он ждёт согласования? Определите обязанности внутренней команды, резервные контакты и порядок действий при недоступности поставщика.
Поставщик
Следит за подключёнными источниками, анализирует оповещения, выполняет поиск угроз и расследование, проводит согласованные действия и фиксирует результат.
Организация
Назначает ответственных за активы и бизнес-процессы, принимает решения о допустимом риске и влиянии изоляции, руководит работой по инциденту и восстановлению.
Совместная работа
Заранее согласуются контакты, сроки эскалации, действия с обязательным подтверждением, хранение доказательств и разбор после инцидента.
Проверка поставщика услуги
Сравнивайте полную стоимость, включая лицензии, внедрение и дополнительные источники. Уточните, с какого момента отсчитывается время эскалации, где работают дежурные команды, какие данные хранит поставщик и как выполняются экспорт и удаление при завершении услуги. Запросите примеры уведомлений об инцидентах и итоговых отчётов. Проверьте, что круглосуточный мониторинг обеспечен дежурной командой, а время реакции определено в договоре.
Охват и интеграция
Составьте письменный перечень устройств, ОС, агентов, журналов облачного аудита, систем управления учётными записями и доступом, почты и сети. Укажите исключения, лицензии и работы по подключению.
Первичная оценка и эскалация
Уточните порядок первичного анализа, загрузку аналитиков, частоту поиска угроз, резервные контакты, определение времени реакции и порядок работы ночью и в выходные.
Реагирование и доказательства
Проверьте на тестовом сценарии заранее предоставленные полномочия, действия с отдельным подтверждением, возможности цифровой криминалистики, доступ к доказательствам, срок предоставления отчёта и границы поддержки восстановления.
Частые вопросы
Краткие ответы о различиях услуг MDR, MSSP и MXDR.
Заменяет ли MDR внутренний SOC?
Это зависит от согласованного охвата. MDR может взять на себя мониторинг и часть расследований; руководство инцидентом, бизнес-решения, юридические обязанности и согласование восстановления остаются у организации.
MSSP и MDR — одна услуга?
Нет. MSSP может предлагать широкий набор управляемых задач безопасности; MDR сосредоточена на обнаружении, расследовании угроз и реагировании. Проверьте обязательства по каждой услуге в договоре.
Есть ли единое определение MXDR?
Нет. Обычно так называют сочетание более широких данных XDR и управляемого экспертного реагирования, но охват и полномочия зависят от поставщика.