XDR (extended detection and response, розширене виявлення та реагування) — підхід, що поєднує в одній платформі телеметрію кінцевих точок, мережі, пошти, хмар і систем ідентифікації для виявлення й зупинення атак.
Як працює XDR
XDR виросла з EDR. EDR бачить лише те, що відбувається на комп’ютерах, а атаки проходять через пошту, облікові записи, хмарні сервіси й мережу. XDR-платформа приймає дані з усіх цих джерел, нормалізує їх і пов’язує події в єдиний інцидент: наприклад, фішинговий лист, шкідливе вкладення, відкрите на ноутбуці, підозрілий вхід у хмару й вивантаження даних на невідомий сервер. Термін популяризувала Palo Alto Networks 2018 року, і нині його використовують майже всі великі виробники.
Є два варіанти: native XDR на основі продуктів одного виробника та open XDR, що інтегрує сторонні інструменти.
XDR і SIEM
SIEM збирає журнали майже з будь-яких джерел і гнучка, але потребує серйозного налаштування й інженерної роботи. XDR вужча, зате постачається з готовими правилами, кореляцією та діями реагування — ізоляцією вузла, блокуванням облікового запису, видаленням листа — в усіх інтегрованих продуктах. Багато організацій використовують обидва рішення: XDR для виявлення й реагування, SIEM для довгострокового зберігання, відповідності вимогам і власної аналітики.
Чому це важливо
Команди безпеки перевантажені сповіщеннями з розрізнених інструментів. Зіставляючи сигнали, XDR зменшує шум, скорочує час розслідування й допомагає невеликим командам чи SOC реагувати швидше. Телеметрія з кількох рівнів корисна й для проактивного пошуку загроз.
На що звернути увагу
- Перевірити, які джерела даних справді інтегровано та наскільки глибокі дії реагування.
- Враховувати ризик прив’язки до одного виробника в native XDR.
- XDR, як і раніше, потребує кваліфікованих аналітиків або керованого сервісу (MDR).
