Fra ét endpoint til hele kæden
Forgængeren EDR gav dyb indsigt i, hvad der sker på den enkelte computer. Processer, filændringer, netværksforbindelser.
Men moderne angreb lever sjældent på ét endpoint. De starter i en phishingmail, fortsætter i en kapret M365-konto og bevæger sig derfra sideværts gennem netværket.
XDR udvider synsfeltet til hele kæden. Når telemetri fra mail, identitet og endpoints bliver korreleret ét sted, ser man angrebet som ét sammenhængende forløb i stedet for tre uafhængige alarmer, og responsen kan rettes mod hele forløbet på én gang.
Respons er det ord, der betyder noget
Detektion uden respons er bare hurtigere dårligt nyt.
Pointen med XDR er den automatiserede eller ét-kliks reaktion. En maskine, der begynder at kryptere filer, bliver isoleret fra netværket på sekunder. En konto med umulig rejseaktivitet bliver spærret, før angriberen når videre. Ved ransomware er forskellen mellem sekunder og timer forskellen mellem én inficeret pc og en lammet organisation.
I praksis er XDR den udførende arm i en SOC-funktion. SIEM-laget ser bredt og bevarer historikken, XDR-laget ser dybt og griber ind, og analytikeren binder det sammen.
Tre ting at kigge efter
Tre ting adskiller god XDR fra markedsføring.
Dækningsbredde. Omfatter platformen reelt jeres miljø? Windows, macOS, Linux-servere, Microsoft 365.
Responsdybde. Kan den isolere, blokere og rulle tilbage, eller kan den kun alarmere?
Driftsmodellen. Hvem tuner reglerne og håndterer alarmen klokken tre om natten? Jer eller en partner?
Teknologien er kun den ene halvdel. Uden drift bliver XDR endnu et dashboard, ingen kigger på. Vi leverer den drevne udgave som SIEM & XDR.