?Qu¨¦ es XDR?
XDR (extended detection and response) recolecta y autom¨¢ticamente correlaciona datos a lo largo de m¨²ltiples capas de seguridad ¨C correo electr¨®nico, endpoints, servidores, workloads en la nube y redes. Esto permite una detecci¨®n de amenazas m¨¢s r¨¢pida y una mejora en los tiempos de investigaci¨®n y respuesta a trav¨¦s del an¨¢lisis de seguridad.
XDR
Las amenazas sigilosas evaden la detecci¨®n. Se ocultan entre los silos de seguridad y las alertas dispersas de las soluciones, y se propagan conforme pasa el tiempo. Mientras tanto, los analistas de seguridad abrumados intentan ubicar e investigar con un arsenal poco variado y vistas desconectadas de los ataques.
XDR rompe con estos silos usando un enfoque hol¨ªstico para la detecci¨®n y la respuesta. XDR recolecta y correlaciona datos de detecciones y actividad profunda a lo largo de m¨²ltiples capas de seguridad: correo electr¨®nico, endpoints, servidores, workloads en la nube y redes. El an¨¢lisis automatizado de este superconjunto de datos enriquecidos detecta m¨¢s r¨¢pido las amenazas. Como resultado, los analistas de seguridad est¨¢n equipados para hacer m¨¢s y pueden tomar acci¨®n r¨¢pidamente por medio de las investigaciones.
Conozca m¨¢s acerca de las ?capas de seguridad? que pueden alimentar XDR.
Retos de SOC
Cuando se trata de la detecci¨®n y respuesta, los analistas del SOC (security operations center) se enfrentan con una responsabilidad importante. Deben identificar r¨¢pidamente las amenazas cr¨ªticas para limitar el riesgo y da?o a la organizaci¨®n.?
Exceso de alertas
No es una sorpresa que los equipos de seguridad y de TI a menudo se ven abrumados con alertas provenientes de diferentes soluciones. Una empresa con un promedio de 1,000 empleados puede ver un incremento de hasta 22,000 eventos por segundo a trav¨¦s de su sistema SIEM (Security Information and Event Management). Eso son casi 2 millones de eventos en un d¨ªa.[1]?Tienen recursos limitados para correlacionar y priorizar estas alertas, y les cuesta trabajo r¨¢pida y efectivamente diferenciar el ruido de los eventos cr¨ªticos. XDR autom¨¢ticamente une una serie de actividades de baja confianza en un evento de alta confianza, dando como resultado menos alertas de mayor prioridad para la acci¨®n.
Brechas de visibilidad?entre soluciones de seguridad
Muchos productos de seguridad ofrecen visibilidad de actividades. Cada soluci¨®n ofrece una perspectiva espec¨ªfica y recolecta y ofrece datos relevantes y ¨²tiles para esa funci¨®n. La integraci¨®n entre soluciones de seguridad puede habilitar el intercambio de datos y la consolidaci¨®n. El valor a menudo se ve limitado por el tipo y la profundidad de los datos recolectados y el nivel posible de an¨¢lisis de correlaci¨®n. Eso significa que hay brechas en lo que una analista puede ver y hacer. XDR, en contraste, recolecta y ofrece acceso a un data lake de actividades a lo largo de herramientas individuales de seguridad, incluyendo detecciones, telemetr¨ªa, metadatos y netflow. Aplicando anal¨ªticos sofisticados e inteligencia de amenazas, XDR ofrece el contexto completo necesario para una visi¨®n centrada en el ataque de una cadena entera de eventos a lo largo de capas de seguridad.
Dificultad para realizar?investigaciones
Al enfrentar muchos logs y alertas pero pocos indicadores claros, es dif¨ªcil saber lo que se busca. Si encuentra un problema o amenaza, es dif¨ªcil mapear su camino e impacto a lo largo de la organizaci¨®n. Realizar una investigaci¨®n puede ser un esfuerzo manual capaz de consumir mucho tiempo, si es que existen los recursos para llevarla a cabo. XDR automatiza las investigaciones de amenazas al eliminar los pasos manuales y ofrecer datos enriquecidos y herramientas para el an¨¢lisis que de otra forma no ser¨ªa posible. Considere, por ejemplo, an¨¢lisis automatizado de causa ra¨ªz. Un analista puede ver claramente la l¨ªnea del tiempo y el camino de un ataque que pueda llegar a cruzar entre correos, endpoints, servidores, redes y workloads en la nube. El analista puede ahora evaluar cada paso del ataque para dar la respuesta necesaria.
Tiempos lentos de detecci¨®n y respuesta
El resultado de estos desaf¨ªos mencionados es que las amenazas no se detectan en un largo tiempo, incrementando el tiempo de respuesta, y aumentando el riesgo y las consecuencias de un ataque. XDR ¨²ltimamente da como resultado mejoras necesarias en los tiempos de respuesta y en los ¨ªndices de detecci¨®n de amenazas. Cada vez m¨¢s a menudo las organizaciones de seguridad monitorean las m¨¦tricas MTTD (mean-time-to-detect) y MTTR (mean-time-to-respond) se monitorean como indicadores clave de desempe?o. Similarmente, eval¨²an el valor de una soluci¨®n y una inversi¨®n en t¨¦rminos de cu¨¢nto impulsan estas m¨¦tricas y, por lo tanto, reducen los riesgos de una empresa.
XDR vs. EDR
XDR representa la evoluci¨®n de la detecci¨®n y respuesta m¨¢s all¨¢ de una soluci¨®n puntual y un enfoque de un solo vector.
Claramente, las soluciones EDR (Endpoint Detection and Response) han sido de gran valor. Sin embargo, a pesar de la profundidad de sus capacidades, EDR est¨¢ finalmente limitado por su capacidad de ¨²nicamente detectar y responder a amenazas en endpoints gestionados. Esto limita el alcance de amenazas que pueden detectarse, as¨ª como la visibilidad de qui¨¦n y qu¨¦ se est¨¢ viendo afectado. Esas restricciones ¨²ltimamente limitan la efectividad de la respuesta dentro del SOC.
De manera similar, las herramientas de Network Traffic Analysis (NTA) se limitan a la red y a segmentos monitoreados de la misma. Las soluciones NTA tienden a acumular una cantidad masiva de logs. Por lo que la correlaci¨®n entre las alertas de la red y los datos de otras actividades es cr¨ªtica para hacer sentido de las alertas de la red y extraer valor de ellas.
Mejorando SIEM
Las organizaciones utilizan SIEM para recopilar logs y alertas de m¨²ltiples soluciones. Mientras que las soluciones SIEM permiten que las empresas junten mucha informaci¨®n de m¨²ltiples fuentes para centralizar la visibilidad, que resulta en un n¨²mero abrumador de alertas individuales. Esas alertas son dif¨ªciles de revisar para conocer qu¨¦ es realmente cr¨ªtico y necesita atenci¨®n inmediata. Correlacionar y conectar todos los logs de informaci¨®n para ganar visibilidad del contexto es un reto grande para ¨²nicamente una soluci¨®n SIEM.
Por el contrario, XDR recolecta actividades profundas de datos y alimenta esa informaci¨®n a un lago de datos para realizar sweeping, hunting e investigaci¨®n extendida entre capas a lo largo de las capas de seguridad. Aplicar AI y anal¨ªticos expertos al conjunto de datos enriquecidos habilita menos alertas ricas en contexto, las cuales pueden enviarse a la soluci¨®n SIEM de la empresa. XDR no reemplaza a SIEM, lo potencia ¨C reduciendo el tiempo requerido por analistas de seguridad para evaluar alertas y logs relevantes y decidir qu¨¦ es lo que requiere atenci¨®n y requiere de una investigaci¨®n m¨¢s profunda.
Imperativos de capacidad
M¨²ltiples capas de seguridad m¨¢s all¨¢ del endpoint
- Para realizar actividades de detecci¨®n y respuesta extendidas, necesita al menos dos capas, y entre m¨¢s, mejor: endpoints, correos, redes, servidores y workloads en la nube.
- XDR alimenta un data lake con datos de actividades de m¨²ltiples capas. Toda la informaci¨®n aplicable se hace disponible para lograr una correlaci¨®n y an¨¢lisis efectivos en la estructura m¨¢s relevante.
- El obtener informaci¨®n desde un solo stack de seguridad de un solo vendor previene la proliferaci¨®n de vendors/soluciones. Tambi¨¦n logra una integraci¨®n e interacci¨®n sin comparaci¨®n entre las capacidades de detecci¨®n, investigaci¨®n y respuesta.
AI y anal¨ªticos expertos de seguridad desarrollados especialmente
- Recolectar datos es uno de los beneficios de XDR, pero aplicar anal¨ªticos e inteligencia para potenciar una mejor y m¨¢s r¨¢pida detecci¨®n es cr¨ªtico.
- Conforme la recolecci¨®n de telemetr¨ªa se convierte en prioridad, anal¨ªticos de seguridad combinados con inteligencia de amenazas potencian valor que puede convertir la informaci¨®n en insights y acciones.
- Un motor de anal¨ªticos alimentado por sensores inteligentes nativos ofrece anal¨ªticos de seguridad mucho m¨¢s efectivos de lo que se podr¨ªa obtener con productos o telemetr¨ªa de terceros. Cualquier vendor tendr¨¢ un entendimiento mucho m¨¢s profundo de los datos de sus propias soluciones que aquellos de terceros. Puede asegurar capacidades anal¨ªticas optimizadas al darle prioridad a soluciones XDR desarrolladas espec¨ªficamente para el stack de seguridad nativo de un vendor.
Una plataforma ¨²nica, integrada y automatizada para visibilidad completa.
- XDR habilita investigaciones m¨¢s profundas porque puede hacer conexiones l¨®gicas desde los datos disponibles en una sola visualizaci¨®n.
- Tener una l¨ªnea de tiempo gr¨¢fica y centrada en el ataque puede ofrecer todas las respuestas en un s¨®lo lugar, incluyendo:
- C¨®mo es que el usuario result¨® infectado
- Cu¨¢l fue el primer punto de entrada
- Qu¨¦ o qui¨¦n m¨¢s es parte del mismo ataque
- D¨®nde se origin¨® la amenaza
- C¨®mo se propag¨® la amenaza
- Cu¨¢ntos usuarios m¨¢s tienen acceso a la misma amenaza
- XDR aumenta las capacidades de seguridad de los analistas y optimiza los flujos de trabajo. Optimiza los esfuerzos de los equipos al acelerar o eliminar pasos manuales y permite visualizaciones y an¨¢lisis que no pueden hacerse en los medios
- Integraci¨®n con SIEM y SOAR (Security Orchestration, Automation and Response) permite que los analistas orquesten insights de XDR con el ecosistema de seguridad.