XDR (extended detection and response, расширенное обнаружение и реагирование) — подход, объединяющий в одной платформе телеметрию конечных точек, сети, почты, облаков и систем идентификации для обнаружения и остановки атак.
Как работает XDR
XDR выросла из EDR. EDR видит только происходящее на компьютерах, а атаки проходят через почту, учётные записи, облачные сервисы и сеть. XDR-платформа принимает данные из всех этих источников, нормализует их и связывает события в единый инцидент: например, фишинговое письмо, вредоносное вложение, открытое на ноутбуке, подозрительный вход в облако и выгрузку данных на неизвестный сервер. Термин популяризировала Palo Alto Networks в 2018 году, и сейчас его используют почти все крупные производители.
Есть два варианта: native XDR на основе продуктов одного производителя и open XDR, интегрирующая сторонние инструменты.
XDR и SIEM
SIEM собирает журналы почти из любых источников и гибка, но требует серьёзной настройки и инженерной работы. XDR уже, зато поставляется с готовыми правилами, корреляцией и действиями реагирования — изоляцией узла, блокировкой учётной записи, удалением письма — во всех интегрированных продуктах. Многие организации используют оба решения: XDR для обнаружения и реагирования, SIEM для долгосрочного хранения, соответствия требованиям и собственной аналитики.
Почему это важно
Команды безопасности перегружены оповещениями из разрозненных инструментов. Сопоставляя сигналы, XDR снижает шум, сокращает время расследования и помогает небольшим командам или SOC реагировать быстрее. Телеметрия с нескольких уровней полезна и для проактивного поиска угроз.
На что обратить внимание
- Проверить, какие источники данных действительно интегрированы и насколько глубоки действия реагирования.
- Учитывать риск привязки к одному производителю у native XDR.
- XDR по-прежнему нужны квалифицированные аналитики или управляемый сервис (MDR).
