Главная мысль
Оценивайте XDR по доступным исходным событиям, связям между ними и согласованным полномочиям на реагирование. Проверьте, какие интеграции нужны для ваших сценариев расследования.
Определите источники данных и сценарии расследования
XDR может связывать сигналы конечных устройств, систем управления учётными записями, почты, сети, облака и других подключённых продуктов в одном расследовании. Наличие интеграции не означает, что доступны все события, история и действия реагирования для этого источника. Заранее перечислите нужные источники и сценарий использования.
| Проверка | Что требуется подтвердить |
|---|---|
| Подключение источников | Какие продукты, аккаунты и журналы подключены; частота обновления и хранение данных. |
| Корреляция | Какие срабатывания средств защиты и исходные данные объединяются в инциденте и как аналитик открывает исходные записи. |
| Действие реагирования | Какой подключённый продукт выполняет действие, кто его утверждает и как результат записывается в журнал. |
Примеры XDR
Сравнивайте эти продукты как примеры разных процессов XDR, а не как рейтинг. Во время пилота подтвердите состав интеграций, лицензирование и охват реагирования.
Cisco XDR
Cisco XDR объединяет связанные срабатывания средств защиты в инциденты и расставляет приоритеты с учётом риска. Аналитик может изучать подробности инцидента, признаки подозрительной активности и сценарии реагирования. Проверьте доступные данные, действия и требования к лицензии для используемых продуктов Cisco и сторонних систем.
Palo Alto Cortex XDR
Cortex XDR Pro позволяет выполнять запросы по собранным данным и прослеживать цепочку выполнения процессов в представлении Causality view. Это помогает выяснить, с чего началась подозрительная активность. В пилоте проверьте доступные средства расследования и действия реагирования для выбранных источников данных, агентов, лицензии и разрешений.
Проводите пилот по конкретному сценарию
Подключите источники, которые команда будет использовать ежедневно, и проверьте рабочий процесс от начала до конца. До начала пилота согласуйте критерии успеха: какие сигналы должны появиться, какие события аналитик должен связать и результат какого действия реагирования нужно зафиксировать.
Выберите нужные источники
Перечислите конкретные продукты и типы данных для конечных устройств, систем управления учётными записями, почты, сети и облака, а также требования к истории и хранению.
Проследите инцидент
Создайте несколько сигналов по тестовому сценарию атаки. Проверьте их группировку, доступ к исходным записям и сохранение доказательств аналитиком.
Проверьте реагирование и эксплуатацию
Проверьте, через какой продукт и с чьим одобрением выполняется изоляция или другое действие. Оцените хранение данных, ошибки интеграции, разрешения и затраты времени на ежедневную настройку. Согласуйте, кто поможет при сбое интеграции и кто вправе разрешать действия реагирования.