股票代碼：688225
打開(kāi)微信“掃一掃”，開(kāi)啟安全數(shù)字世界之旅
截圖或長(zhǎng)按保存至相冊(cè)，使用微信掃一掃
首頁(yè) > 安全通告
安全通告
“防毒”只是滄海一粟，亂象中辨明XDR真身
發(fā)布時(shí)間 ：2022年07月14日
分享：
如今，人們一提到XDR（擴(kuò)展檢測(cè)和響應(yīng)），似乎已經(jīng)耳熟能詳，尤其是2020年以來(lái)，隨著疫情和網(wǎng)絡(luò)威脅帶來(lái)的新變化，XDR的熱度持續(xù)上升。但是，認(rèn)知上的偏差，蹭熱度、蹭流量的“XDR”也比比皆是。那么什么是XDR？
時(shí)間回溯，2018年12月4日，亞信安全舉辦了一場(chǎng)“高級(jí)威脅治理十周年”的發(fā)布會(huì)，XDR作為高威脅治理的革新性理念正式發(fā)布：基于自適應(yīng)框架，以安全運(yùn)營(yíng)為視角，打造出的一套精密編排的聯(lián)動(dòng)安全解決方案——XDR的治理邏輯和本質(zhì)在當(dāng)時(shí)得到了明確解讀。
01
為什么需要XDR？
Gartner將XDR列為熱門(mén)安全趨勢(shì)之一，并表示XDR將提高檢測(cè)準(zhǔn)確性，并提升安全運(yùn)營(yíng)效率和生產(chǎn)率。
首先，網(wǎng)絡(luò)安全建設(shè)具有專(zhuān)業(yè)性強(qiáng)、成本高的特點(diǎn)，這讓許多企業(yè)難以構(gòu)建應(yīng)對(duì)現(xiàn)狀的安全體系與技術(shù)能力，用戶需要更加智能化、平臺(tái)化、威脅發(fā)現(xiàn)與處置方便的突破性產(chǎn)品或技術(shù)。而XDR產(chǎn)品是端點(diǎn)檢測(cè)和響應(yīng)（EDR）平臺(tái)自然演進(jìn)的結(jié)果，可以讓沒(méi)有資源來(lái)定制更多單點(diǎn)解決方案的安全團(tuán)隊(duì)更容易獲得這些能力。
其次， XDR平臺(tái)彌補(bǔ)了其他安全工具的短板，它可以更集中且規(guī)范地關(guān)聯(lián)多源數(shù)據(jù)。通過(guò)多源數(shù)據(jù)的收集和分析，打破企業(yè)安全數(shù)據(jù)孤島，以此能夠更有效的驗(yàn)證警報(bào)、減少誤報(bào)并提升可靠性，有助于減少安全團(tuán)隊(duì)浪費(fèi)過(guò)多的時(shí)間在不準(zhǔn)確的警報(bào)上，讓?xiě)?yīng)急響應(yīng)真正意義上的“飛起來(lái)”。
此外，XDR與安全信息和事件管理 (SIEM) 以及EDR等工具在功能上有類(lèi)似的地方，但是許多部署XDR的用戶主要還是為了解決 SIEM 產(chǎn)品弊端，以此獲得比EDR更快、更深入、更有效地威脅檢測(cè)和響應(yīng)能力，以及更強(qiáng)大的數(shù)據(jù)收集和整理能力。
由此可以看到，檢測(cè)與響應(yīng)技術(shù)能力是XDR解決方案得以實(shí)施的必要基礎(chǔ)。所以說(shuō)，沒(méi)有“真”EDR，何談XDR的“實(shí)”力？
02
EDR的“四大金剛”
根據(jù)Gartner對(duì)EDR的定義，EDR是一種記錄和存儲(chǔ)端點(diǎn)系統(tǒng)等級(jí)行為的解決方案，并且通過(guò)多種數(shù)據(jù)分析技術(shù)檢測(cè)可疑的系統(tǒng)行為，提供關(guān)聯(lián)信息，從而阻斷惡意行為并為受影響系統(tǒng)提供修復(fù)建議。Gartner認(rèn)為，EDR解決方案需要有以下四個(gè)關(guān)鍵能力：檢測(cè)安全事件、遏制威脅、調(diào)查安全事件、提供修復(fù)指導(dǎo)。
Gartner提出的EDR的定義是從EDR對(duì)EPP能力的補(bǔ)充延展而來(lái)，概念也較為抽象，而問(wèn)題恰恰就出現(xiàn)在這里。
03
XDR亂象如何辨別真?zhèn)危?/span>
一流的EDR系統(tǒng)不僅可以檢測(cè)、分析和驗(yàn)證常見(jiàn)威脅，還需要對(duì)無(wú)文件攻擊、零日威脅和APT攻擊提供有效的溯源。比如，通過(guò)分析黑客進(jìn)攻的時(shí)間、路徑、工具等所有細(xì)節(jié)，溯源出可疑文件后自動(dòng)上傳到“沙箱”的隔離測(cè)試區(qū)域“引爆”、“驗(yàn)傷”,然后再進(jìn)行遏制、清除、恢復(fù)和優(yōu)化等。
那么，當(dāng)今天面對(duì)XDR的火熱，這些產(chǎn)品真的發(fā)生質(zhì)變了嗎？
答案是否定的。有一些EDR產(chǎn)品其實(shí)還只是算是防毒產(chǎn)品的“改造”，缺乏Gartner定義的EDR四大基本功能，并且一些產(chǎn)品還是無(wú)法根據(jù)行為規(guī)則IOA和外部特征庫(kù)IOC，來(lái)對(duì)漏洞攻擊和無(wú)文件攻擊等高級(jí)威脅進(jìn)行關(guān)聯(lián)分級(jí)及檢測(cè)，也無(wú)法通過(guò)繪制進(jìn)程事件樹(shù)來(lái)實(shí)現(xiàn)攻擊可視化等等。例如：
缺少基于IOA的行為檢測(cè)（通常是超過(guò)100條以上的規(guī)則條目）；
缺少基于操作系統(tǒng)行為高清記錄的調(diào)查功能，可視化的進(jìn)程事件樹(shù)關(guān)聯(lián)分析能力；
缺少遠(yuǎn)程遏制能力；
缺少遠(yuǎn)程修復(fù)能力。
事實(shí)上，要看清“李逵”與“李鬼”之間的區(qū)別，首先要清楚這兩類(lèi)產(chǎn)品的用途。防毒軟件專(zhuān)注于預(yù)防，被設(shè)計(jì)用來(lái)在“壞東西”進(jìn)入你的網(wǎng)絡(luò)之前捕捉它們，但是它對(duì)攻擊期間發(fā)生的情況一無(wú)所知。所以，即使防毒軟件可以準(zhǔn)確地抓住了惡意代碼，也無(wú)法得知它（他）們來(lái)自哪里，以及攻擊是如何在系統(tǒng)中傳播的。而EDR描述的是整個(gè)攻擊過(guò)程，當(dāng)一個(gè)攻擊行為被防毒軟件阻止，或者針對(duì)無(wú)文件型的惡意軟件、零日漏洞、APT高級(jí)持續(xù)性威脅防控失敗的時(shí)候，EDR會(huì)為你提供真正的答案和修復(fù)的能力。
04
XDR的特色之路
亞信安全早在2018年底就發(fā)布了基于XDR理念的解決方案，產(chǎn)品的重點(diǎn)方向是將能力型產(chǎn)品聯(lián)動(dòng)起來(lái)，可以實(shí)現(xiàn)各類(lèi)API的對(duì)接，進(jìn)而在發(fā)現(xiàn)威脅事件告警檢出率的同時(shí)能夠有效降噪，降低誤報(bào)率、漏報(bào)率，快速反應(yīng)處置。其次，亞信安全XDR利用強(qiáng)大的數(shù)據(jù)分析能力和響應(yīng)處置的能力，將AI與安全專(zhuān)家團(tuán)隊(duì)、預(yù)案和流程打通，再將產(chǎn)品聯(lián)動(dòng)，進(jìn)而向用戶提供一個(gè)整體性的防御能力。
亞信安全認(rèn)為：XDR的價(jià)值就是有效對(duì)抗殺傷鏈。如今，不論是亞信安全端點(diǎn)防護(hù)層面的信端終端檢測(cè)與響應(yīng)系統(tǒng)（EDR），還是集成在信艙云主機(jī)安全（DeepSecurity）的EDR模塊，皆能基于云端威脅情報(bào)庫(kù)的IOC引擎和ATT&CK攻擊框架檢測(cè)的IOA引擎，在攻擊（威脅）事件發(fā)生之初，便能進(jìn)行記錄和告警，將風(fēng)險(xiǎn)扼殺在搖籃中。
圖：亞信安全基于ATT&CK框架形成高級(jí)威脅治理
小結(jié)
XDR結(jié)合了SIEM、SOAR、EDR、NTA、威脅狩獵以及集中安全數(shù)據(jù)和事件響應(yīng)，正是這些技術(shù)的復(fù)雜性讓許多用戶覺(jué)得很“神秘”。但是，在疫情影響之下，安全的邊界已經(jīng)發(fā)生改變，新一代網(wǎng)絡(luò)攻擊技術(shù)將變得更加隱蔽、狡猾和復(fù)雜。對(duì)于用戶而言，XDR的發(fā)展不僅會(huì)是一次對(duì)傳統(tǒng)安全方案的 “降維打擊”，也一定會(huì)為“無(wú)限可能”的數(shù)字化業(yè)務(wù)提供“無(wú)處不在”的護(hù)航能力。
分享到微信
X