Los anal¨ªticos de seguridad de la detecci¨®n y respuesta extendidas (XDR) examinan un alto volumen de informaci¨®n para identificar una serie de actividades sospechosas. Estos anal¨ªticos en la nube localizan amenazas ¨C como d¨ªa-cero y ataques dirigidos ¨C que est¨¢n ocultas entre todos los datos de actividad recolectados.
XDR security analytics: el n¨²cleo de XDR
Los anal¨ªticos de seguridad est¨¢n en el n¨²cleo de XDR para abordar el reto de tener diversas fuentes de telemetr¨ªa provenientes de diferentes protocolos, productos y capas de seguridad. XDR t¨ªpicamente incluye datos de actividades provenientes de varios vectores ¨C emails, endpoints, servidores, workloads en la nube, y redes en particular.
Un motor de anal¨ªticos de seguridad entonces procesa esos datos y detona una alerta basada en filtros, reglas o modelos definidos. Los anal¨ªticos son lo que vinculan la informaci¨®n entrante a la plataforma de XDR para identificar eventos de seguridad y su severidad.
XDR usa la mejor t¨¦cnica anal¨ªtica o combinaci¨®n de t¨¦cnicas para realizar una detecci¨®n ¨C ya sea machine learning, data stacking, u otro tipo de an¨¢lisis de big data. Los anal¨ªticos de XDR examinan los datos de actividades y buscan diferentes patrones de comportamiento a lo largo de las capas de seguridad para identificar ataques complejos y de m¨²ltiples fases.
Anal¨ªticos de seguridad y modelos de detecci¨®n
Los anal¨ªticos de seguridad de XDR correlacionan eventos, comportamientos y/o acciones de baja confianza dentro y a lo largo de las diferentes capas de seguridad.
En lugar de que un analista de seguridad vea fragmentos aislados de actividades sospechosas, XDR puede correlacionar una serie de eventos e identificarlos como maliciosos ¨C en lugar de una alerta para un email sospechado de phishing y tal vez otra alerta aislada para un acceso a un dominio sospechoso, por ejemplo. XDR puede ver si el email sospechoso de phishing est¨¢ relacionado al acceso extra?o al dominio web en un endpoint, y si hubo una descarga de archivo despu¨¦s de que se corri¨® un script. Esto entonces podr¨ªa llevar a una detecci¨®n XDR de alta fidelidad de actividad maliciosa que se debe investigar.
XDR toma eventos detectados de forma individual y otros datos de actividades y correlaciona la informaci¨®n, y entonces aplica anal¨ªticos de la nube para poder realizar detecciones m¨¢s sofisticadas y precisas. XDR se enfoca en los comportamientos que los productos individuales no pueden ver por s¨ª mismas.
Entre m¨¢s, ?mejor?
Cuando se trata de los anal¨ªticos de XDR, entre m¨¢s reglas, fuentes y capas disponibles, mejor. Pero tambi¨¦n es importante la calidad de los datos. Si la calidad y an¨¢lisis de sus hallazgos no le dan insights, su recopilaci¨®n de datos no es necesariamente ¨²til.
Reglas y t¨¦cnicas de detecci¨®n:?Al potenciar una infraestructura en la nube, se implementan nuevas reglas y modelos mejorados de detecci¨®n de amenazas para buscar una serie de actividades sospechosas. Con uso frecuente, las t¨¦cnicas de detecci¨®n de machine learning pueden refinar reglas constantemente para mejorar la efectividad de la detecci¨®n y reducir falsos positivos.
Fuentes: La investigaci¨®n e inteligencia de amenazas permiten que evolucionen nuevos modelos de detecci¨®n conforme evoluciona el panorama de amenazas. Los modelos de detecci¨®n deber¨ªan integrar informaci¨®n interna y externa de amenazas como las t¨¢cticas y t¨¦cnicas de MITRE ATT&CK?
Capas: Entre m¨¢s capas se seguridad se agreguen, mayores ser¨¢n las capacidades anal¨ªticas entre capas de la plataforma, por lo que crecer¨¢ el valor para el cliente de forma exponencial.