关于XDR,你必须了解的十件事

XDR不仅是一项技术,更是一种方法,XDR旨在简化和统一安全技术,提高总体安全方案的有效性。

热度不断上升的XDR有望成为改变当下网络安全市场格局的颠覆性力量。

XDR是安全业界近年来逐渐火爆的话题,原因很简单,企业客户的预算正在流向这个领域。2017年Gartner指出,未来五年企业网络安全支出战略将发生重大改变,重心将从阻止(Prevent)向检测和响应倾斜。

自从2019年2月的RSA大会,有关XDR的讨论开始升温,而2020年随着疫情和网络威胁带来的新变化,XDR的热度有望在未来数年内持续上升。

尽管充满活力,但是XDR市场仍处于早期阶段,与任何一个热钱涌动的新兴市场一样,充斥着滥竽充数、浑水摸鱼的谎言和混乱。

那么,XDR到底是什么?有何价值?与其他各种“DR”安全技术方案(例如EDR、MDR)存在什么关联和区别?XDR的如何落地?如何选择?对于很多企业客户来说,当他们面对厂商五花八门的营销说辞时,有太多问题需要澄清。以下,我们根据ESG的市场调查报告将关于XDR的十大问题整理如下供读者参考:

XDR到底是什么?

ESG将XDR定义为跨混合IT架构的安全产品的集成套件,负责威胁预防、检测和响应等多个安全功能之间的协调和互操作。换句话说,XDR将控制点、安全遥测、分析和运营统一到单一的企业安全系统中。

XDR包含哪些安全技术?

由于每个网络安全供应商都热衷于将XDR的概念扣在自家的产品上,因此市场上对XDR的定义繁多令人困惑。通常来说,XDR应当包含电子邮件安全产品/服务,这是识别XDR产品的一个基本特征。尽管安全供应商将提供不同的XDR捆绑包,但ESG研究表明,大型组织希望XDR方案包括端点/服务器/云工作负载安全性、网络安全性、最常见威胁向量的覆盖范围(例如,电子邮件/Web)、文件引爆(例如沙箱)、威胁情报和分析。XDR供应商往往还添加了基本的安全编排、自动化和响应(SOAR)功能。

XDR有什么好处?

XDR的核心承诺是:通过技术集成和高级分析帮助企业大大提高威胁检测和响应的速度,表现优于当下企业采用多个单独安全工具组合的方式。XDR还能帮助企业检测低速缓慢攻击以及高级持久性威胁(APT)。对于后两类攻击,XDR可以分析检测到攻击的杀伤链而不是离散的信号。总之,XDR的愿景是将安全控制与安全运营紧密结合在一起,成为一个集成解决方案。

XDR有市场吗?

答案显然是肯定的。ESG的研究表明,84%的企业正在积极集成安全技术,因此XDR可以充当交钥匙安全技术集成解决方案。此外,由于大型企业和组织网络安全支出的“一元性”——80%的企业愿意将大部分安全技术预算支付给单个企业级安全供应商。因此XDR供应商将不得不说服CISO,XDR才是正确的道路。如果XDR概念和方法能够成功上位,取得CIO/CISO们的认可和共识,这个市场将迎来黄金发展期。

XDR将如何部署?

这是个棘手的问题。要想成功部署XDR,企业必须认同XDR的愿景,并愿意分阶段部署XDR,因为他们需要将已有的点控制安全工具更换为XDR组件。CISO还需要为XDR项目选择一个切入点(例如,端点安全)。当他们的网络流量分析(NTA)技术工具的成本完全摊销(或服务到期时),他们将为NTA添加XDR组件。其他控制点(如云工作负载安全性,电子邮件安全性,Web安全性等)的情况类似。从理论上讲,XDR与每个附加组件一起提供增量价值,也就是所谓的1加1大于2。由于需要采用了这种分阶段过渡的方法,XDR供应商将不得不说服CISO,XDR的长期价值在于,从长远看该方法将比集成各种最佳安全工具的方案更加出色。

哪种类型的企业和组织最适合XDR?

对XDR需求最强烈的客户是中型企业和小型企业,这些企业没有足够的网络安全人才或技能来推出自己的集成架构。此外,一些行业用户也有类似需求,例如:高等教育、医疗保健、地方政府等。当然,这并不意味着XDR不会吸引大型企业,但是对于拥有大量分散的安全控制和操作技术的企业和组织来说,XDR部署路径将更加困难。企业CISO跳进XDR这个“大坑”之前,需要进行更加深入的调研和咨询论证。

XDR是否会与EDR和MDR产品竞争?

在与端点检测和响应(EDR)直接竞争的项目中,XDR供应商需要说服甲方,即EDR只是更大、完全集成的XDR解决方案的一部分。当您可以购买整台机器时,为什么还要去单独购买一个齿轮呢?至于在成本上有优势的托管检测和响应(MDR),XDR供应商有时会与其正面竞争,XDR的卖点是能够让客户获得最佳技术和量身定制的托管服务。

XDR是“全家桶”专有方案吗?

每个XDR供应商都将试图说服客户在XDR安全基础结构中整合自家组件结合在一起。但是,安全行业极为不同,因此XDR供应商将必须支持某种程度的开放性:支持将包括开放源代码消息总线集成,开放API,合作伙伴生态系统,行业标准等。某些类型的开源XDR解决方案可能会涉及ELK堆栈,但目前还没有特别值得留意的进展。

XDR是否会与安全运营技术(例如安全信息和事件管理(SIEM)、SOAR和威胁情报平台(TIP))竞争?

这其实就是XDR的终极愿景,但是到目前为止,还没有XDR解决方案具有在大型企业安全运营中心(SOC)中发挥作用的规模或功能。这并不是说XDR将来不会增加规模和功能,但是目前这还不是一个紧迫的问题。在可预见的将来,XDR解决方案必须能够SOC系统进行互操作,而那些能够提高SOC效率的XDR供应商将是最成功的。值得注意的是,XDR可能非常适合1级SOC分析人员的监控性质的安全警报分类。如果XDR解决方案可以兑现高级分析和简单易用的承诺,那就更容易受到此类分析人员的欢迎。

如今,哪些国外供应商正在营销/销售XDR解决方案?

XDR市场不断有新玩家加入,最终任何主流安全厂商都不会作壁上观。就国外厂商而言,目前我们能看到的名单包括Broadcom(Symantec)、思科、FireEye、McAfee、微软、Palo Alto Networks、Stellar Cyber、趋势科技和VMware。此外,值得注意的是EDR厂商们(CrowdStrike、Cybereason、SentinelOne等)将来也可能会涉足XDR市场,从端点延伸到其他控件。

除了上述十个问题,关于XDR的疑问还有很多,例如XDR是否会像用户和实体行为分析(UEBA)那样包含在SOC 中?XDR是否会颠覆当下的网络安全技术市场?中国有哪些厂商在XDR领域领跑?欢迎读者们留言表达你们的观点。

上一篇:PE Tree:一个恶意软件逆向工程分析开源工具

下一篇:攻防最前线:恶意攻击手法可令3D打印机着火