下一代EDR應該叫做XDR
作者:星期五, 九月 21, 20180

終端檢測與響應(EDR)近幾年來一直是很有價值的技術,但其有限的視野也留下了很多盲點。如今,是時候進化到XDR了。

安全人員試圖在終端和主機上查找可疑行為或可疑行為的蹤跡時,終端檢測與響應(EDR)是一項很有用的重要技術。網絡安全自計算機誕生之初就相伴左右,但EDR領域卻尚處于萌芽階段,第一款解決方案甚至僅追溯到5年前。

EDR技術監視終端,并將數據存儲到中央存儲庫中供分析,以便檢測威脅。通常,EDR解決方案會要在主機系統上安裝軟件代理,提供監視和報告要用到的數據。

現如今,用戶面對的威脅越來越多,EDR在高級防護中所處的位置也越來越重要。事實上,一位業內頂尖滲透測試員就曾透露,他通常可以在1小時內通過攻擊用戶和終端而侵入被測公司企業。商業領域中Windows系統廣為使用,但其很多內部功能都可被惡意黑客用于控制主機或滲漏數據。

雖然EDR很有價值,但其可見性卻并不很大。該技術類似于從輪船舷窗往外看,只能看到一小截地平線,視野相當有限。想要確定天氣如何,如果周邊島嶼環繞或有過往船只遮擋,從舷窗是看不出什么的,只能走上艦橋以獲得全面的視野。

傳統EDR視野狹隘

傳統EDR的焦點只放在終端上,所以必須進化到囊括一系列數據集的XDR才能跟上時代的發展。除了終端,云、威脅情報、網絡數據、日志信息,甚至社區數據都應包含進來。來自更多實現點的更多數據源,可以令安全團隊和技術產品更快發現更多威脅,然后加以阻止。

這有點像是在艦橋上就能一切盡入眼簾一樣。不同的是,XDR縱觀攻擊的所有元素,而不僅僅是在一臺終端上發現的那些。XDR增加了轉譯不同數據源數據所需的分析,令安全分析師的調查工作更有效率。

XDR看到一切

因為XDR解決方案對實施點有所了解,也就可以從包含終端在內的不同位面,更快地響應并封堵威脅。而若使用的是傳統EDR,終端上檢測出的信息或許能昭示數據泄露,但我們能所能知道的也就只有終端上發生的那些了。該解決方案可以看到終端發生的事件并轉到其他終端加以評估。但如果源是外部的,EDR就毫無幫助,因為終端看不到網絡數據,終端數據揭示不了任何東西。

我們需要的是對威脅的網絡部分以及攻擊不同階段間聯系的可見性。比如說,昭示管理員憑證被黑客從服務器A盜取又用于滲透服務器B的那些證據。

XDR可對威脅追蹤溯源

采用XDR,系統可以更好地追蹤惡意流量來源,重建攻擊全貌。這可以幫助安全團隊更好地理解發生了什么,確定攻擊發生的位置,在最有可能的實施點加以響應。若缺乏XDR,我們所能知道的就只是攻擊發生了,在某臺終端上。還是用艦船來打比方。船底有積水,說明船漏水了。你可以把積水拖干,但如果不知道滲漏的源頭,問題還是無法得到解決。

EDR最令人詬病的一點,在于其很大程度上只關注檢測,如果你不是專家,EDR對響應其實幫助不大。而XDR檢測與響應并重。EDR其實可以寫作EDr——小寫r以表達其對響應的忽略。XDR則是D與R都大寫,對所有潛在數據源都是檢測與響應兩手抓,能讓安全團隊在對抗惡意黑客時占據更大的贏面。

EDR興盛時期,它確實是安全人員的工作利器,因為可供看清終端上所發生的事情,而終端當時確實是最大的攻擊點。如今,我們生活在萬物互聯的世界,EDR只有進化成XDR,才能讓安全團隊視野更廣,工作更趁手。如果正在規劃安全團隊的時間和預算,何不跳出終端,放眼更廣呢?

相關閱讀

終端安全需要“高效能”

EDR:終端發現的三大原則和挑戰

怎樣選擇終端安全產品?這是一份懷疑論者指南

 

分享:
0

相關文章

寫一條評論

 

 

0條評論