La telemetr¨ªa de XDR se refiere a los datos recopilados por soluciones de seguridad espec¨ªficas ¨C incluyendo pero no limitado a email, endpoint, servidor, workload en la nube y red. Ya que cada capa o soluci¨®n de seguridad contiene varios tipos de datos de actividades, una plataforma XDR recolecta la telemetr¨ªa para detectar y hacer hunting de amenazas desconocidas y asistir en el an¨¢lisis de causa ra¨ªz.
Tipo de telemetr¨ªa por capa de seguridad
Las soluciones de seguridad recopilan datos de una variedad de eventos que ocurren en un d¨ªa. Estos eventos var¨ªan desde informaci¨®n de archivos a los que acceden los usuarios hasta la modificaci¨®n de registros en un dispositivo. Ejemplos de este tipo de datos recolectados incluyen, pero no est¨¢n limitados a, lo siguiente:
Eventos de red
Workloads en la nube
Correo electr¨®nico
Endpoints
C¨®mo la telemetr¨ªa recopilada hace la diferencia
Lo que diferencia a las plataformas de XDR es el tipo de datos recopilados y lo que se hace con ellos.
Una plataforma XDR creada principalmente en su propio stack de seguridad nativo tiene la ventaja de un entendimiento m¨¢s profundo de los datos. Esto permite que la plataforma pueda recolectar exactamente lo necesario para optimizar modelos anal¨ªticos para lograr detecciones correlacionadas, investigaciones profundas y threat hunting.
Los vendors que se enfocan principalmente en obtener datos de productos de terceros comienzan, desafortunadamente, con un menor entendimiento de los datos asociados. Estos vendors probablemente no est¨¢n obteniendo el tipo y profundidad de la telemetr¨ªa necesarios para comprender el contexto completo de las amenazas.
Aunque es pr¨¢ctica com¨²n observar la telemetr¨ªa, los metadatos y NetFlow, esta alerta de datos realmente no ofrece informaci¨®n relacionada con las actividades requeridas para correr anal¨ªticos y potenciar insights accionables.
Entender la forma en que se estructura y se almacena la telemetr¨ªa es tan importante como entender cu¨¢l es la telemetr¨ªa que se est¨¢ recopilando. Dependiendo de los datos de actividades, las diferentes bases de datos y esquemas son mejores para optimizar la captura, consulta y uso de los datos.
Usando los datos de red como ejemplo, una base de datos de gr¨¢ficos podr¨ªa ser la m¨¢s eficiente, pero para los datos de endpoints, ser¨ªa preferible un motor abierto de b¨²squeda y anal¨ªticos como Elasticsearch.
Tener varias estructuras de data lake configuradas para distintos tipos de telemetr¨ªa puede hacer una gran diferencia en la eficiencia de los datos y su efectividad para la detecci¨®n, correlaci¨®n y b¨²squeda.
°Õ±ð±ô±ð³¾±ð³Ù°ù¨ª²¹ de XDR vs. alertas SIEM
Aunque SIEM es efectiva para agregar los logs y las alertas; no es tan eficiente para conectar m¨²ltiples alertas identificadas con el mismo incidente. Esto podr¨ªa requerir una evaluaci¨®n de la telemetr¨ªa ra¨ªz a lo largo de las capas de seguridad.
Al potenciar la telemetr¨ªa, las alertas de XDR consideran la informaci¨®n sobre la alerta as¨ª como otras actividades cr¨ªticas dise?adas para identificar actividades sospechosas o maliciosas. Por ejemplo, la actividad de PowerShell por s¨ª sola podr¨ªa no resultar en una alerta SIEM, pero XDR puede evaluar y correlacionar actividades a lo largo de varias capas de seguridad, incluyendo el endpoint.?
Al correr modelos de detecci¨®n en la telemetr¨ªa recopilada, una plataforma XDR puede identificar y mandar menos alertas, pero de mayor confianza, al SIEM, reduciendo el tiempo y esfuerzo de triaje requerido por los analistas de seguridad.