Extended Detection and Response (XDR) là các giải pháp bảo mật tích hợp, thu thập và tương quan tín hiệu từ nhiều nguồn như endpoint, mạng, email, định danh và cloud. Mục tiêu chính của XDR là giảm thiểu khối lượng cảnh báo bằng cách tổng hợp chúng thành các sự cố có thể điều tra được, thay vì bổ sung thêm một bảng điều khiển quản lý mới.
Đánh giá các giải pháp XDR
Việc đánh giá các giải pháp XDR được thực hiện dựa trên cấu trúc nghiên cứu, tập trung vào năm tiêu chí chính, nhằm xác định liệu XDR có thực sự giúp giảm bớt khối lượng công việc hay lại làm tăng thêm sự phức tạp. Các tiêu chí này bao gồm:
- Data coverage (25%): Khả năng hỗ trợ gốc cho bao nhiêu nguồn dữ liệu như endpoint, mạng, email, định danh, cloud, SaaS và OT.
- Correlation quality (25%): Mức độ hiệu quả trong việc biến đổi các tín hiệu thô thành một số lượng nhỏ các sự cố có độ trung thực cao. Đây là điểm cốt lõi của XDR và là nơi các nền tảng có sự khác biệt lớn nhất.
- Response automation (20%): Khả năng tự động hóa quy trình, bao gồm các playbook, biện pháp ngăn chặn tự động và mức độ hoạt động có thể thực hiện mà không cần sự can thiệp của nhà phân tích.
- Openness (15%): Mức độ hỗ trợ thực sự cho các nguồn dữ liệu của bên thứ ba. Điều này quyết định liệu XDR có phù hợp với môi trường hiện có của bạn hay yêu cầu bạn phải xây dựng lại.
- Operability (15%): Mức độ chuyên môn mà nền tảng yêu cầu trong quá trình vận hành hàng ngày.
Các kết quả đánh giá MITRE ATT&CK Evaluation đã cung cấp thông tin cho các đánh giá về khả năng tương quan và phạm vi bao phủ dữ liệu. Không có bất kỳ thử nghiệm thực tế nào được thực hiện.
Native XDR và Open XDR
Native XDR, được đại diện bởi các nhà cung cấp như Palo Alto, CrowdStrike, Microsoft và SentinelOne, thực hiện tương quan dữ liệu mà chính nhà cung cấp thu thập. Việc tương quan này sâu hơn và nhanh hơn do nhà cung cấp kiểm soát toàn bộ định dạng dữ liệu. Tuy nhiên, điều này thường đòi hỏi việc chuẩn hóa với các sản phẩm của cùng nhà cung cấp cho endpoint, mạng và cloud để đạt được giá trị tối đa.
Ngược lại, Open XDR có khả năng tiếp nhận dữ liệu từ các nguồn của bên thứ ba như một công dân hạng nhất, cho phép người dùng giữ lại các công cụ hiện có. Khả năng tương quan của Open XDR thường nông hơn do tính không nhất quán của dữ liệu, nhưng giúp tránh việc thay thế toàn bộ hệ thống.
Lời khuyên là nếu bạn đã chuẩn hóa đáng kể với một nhà cung cấp nền tảng lớn, native XDR sẽ mang lại kết quả tốt hơn với ít nỗ lực hơn. Nếu môi trường của bạn đa dạng và sẽ duy trì như vậy, một cách tiếp cận mở hoặc SIEM hiện đại với khả năng tự động hóa và kỹ thuật phát hiện là lựa chọn thực tế hơn.
Cần tránh cạm bẫy là mua một nền tảng native XDR rồi cố gắng nạp dữ liệu từ bên thứ ba thông qua các trình kết nối chung. Điều này mang lại hiệu quả tương quan chất lượng SIEM với mức giá của nền tảng XDR. Quyết định mô hình phù hợp trước khi yêu cầu báo giá là rất quan trọng.
Các giải pháp XDR nổi bật
Palo Alto Cortex XDR
Palo Alto Cortex XDR đạt điểm cao nhất trong đánh giá, đặc biệt ở khả năng bao phủ dữ liệu và độ sâu tương quan. Nền tảng này định nghĩa danh mục XDR và khả năng hợp nhất dữ liệu từ endpoint, mạng, cloud và định danh vẫn là mạnh mẽ nhất.
Điểm mạnh bao gồm tương quan đa nguồn thực sự giúp giảm đáng kể khối lượng cảnh báo, phân tích hành vi và định danh mạnh mẽ, và đặc biệt hữu ích cho các tổ chức sử dụng tường lửa Palo Alto. Tuy nhiên, chi phí nhập dữ liệu đòi hỏi mô hình hóa cẩn thận và việc triển khai, tinh chỉnh đòi hỏi nhiều nỗ lực hơn.
Người dùng lý tưởng là các doanh nghiệp có SOC và đã chuẩn hóa với Palo Alto. Cần xác minh rõ khối lượng dữ liệu nhập và chi phí liên quan trước khi mua.
CrowdStrike Falcon XDR
CrowdStrike Falcon XDR đạt điểm cao gần như tuyệt đối, đặc biệt mạnh về kỹ thuật phát hiện và bối cảnh thông tin tình báo về mối đe dọa.
Điểm mạnh bao gồm dữ liệu endpoint đặc biệt, mở rộng sang định danh, cloud và quản lý log. Lớp OverWatch bổ sung chuyên môn săn lùng mối đe dọa, và khả năng truy vết kẻ tấn công cung cấp bối cảnh hành động. Tuy nhiên, chi phí theo mô-đun có thể tích lũy nhanh chóng và chi phí nhập log cần được mô hình hóa.
Người dùng lý tưởng là các doanh nghiệp mong muốn khả năng phát hiện tốt nhất với lớp săn lùng mối đe dọa được quản lý. Cần xác định rõ các mô-đun cần thiết và chi phí nhập dữ liệu.
SentinelOne Singularity XDR
SentinelOne Singularity XDR nổi bật với điểm tự động hóa phản hồi hoàn hảo và điểm mở cao nhất trong số các nền tảng native. Singularity Data Lake có khả năng tiếp nhận dữ liệu của bên thứ ba một cách hiệu quả.
Điểm mạnh bao gồm khả năng phản hồi tự động mạnh mẽ, tương quan Storyline tự động xây dựng các tường thuật tấn công, và khả năng tiếp nhận dữ liệu bên thứ ba thực sự hữu dụng. Nền tảng này có khả năng vận hành tốt cho các nhóm không có chuyên môn sâu.
Người dùng lý tưởng là các tổ chức có đội ngũ an ninh nhỏ, cần tự động hóa để bù đắp cho số lượng nhân sự hạn chế. Cần xác minh giá cả nhập dữ liệu của data lake dựa trên khối lượng log.
Microsoft Defender XDR
Microsoft Defender XDR đạt điểm cao về phạm vi bao phủ và tương quan dữ liệu trên hệ sinh thái Microsoft (Entra ID, Office 365, Intune, endpoint). Tuy nhiên, điểm mở của nó lại thấp nhất trong nhóm.
Điểm mạnh là khả năng tương quan mạnh mẽ giữa Entra ID, Office 365 và endpoint, cùng khả năng tự động cô lập thiết bị bị xâm nhập giúp giảm tải công việc phân tích. Quan trọng hơn, nó được bao gồm trong Microsoft 365 E5, mang lại lợi thế kinh tế đáng kể cho các tổ chức đã sở hữu gói này.
Người dùng lý tưởng là các tổ chức sử dụng Microsoft 365 E5, nơi giải pháp này gần như là lựa chọn mặc định. Cần xem xét liệu nhu cầu dữ liệu của bên thứ ba có yêu cầu thêm Microsoft Sentinel hay không.
Trend Micro Vision One XDR
Trend Micro Vision One XDR ghi điểm mạnh về phạm vi bao phủ dữ liệu, đặc biệt là email, server và cloud workload. Khả năng tương quan email như một nguồn dữ liệu hạng nhất là một lợi thế lớn.
Điểm mạnh bao gồm khả năng tương quan email hiệu quả, phạm vi bao phủ server và cloud workload tốt, và lịch sử nghiên cứu lỗ hổng bảo mật mạnh mẽ. Nền tảng này mang lại giá trị tốt ở quy mô nền tảng và cung cấp thông tin chi tiết về rủi ro.
Người dùng lý tưởng là các tổ chức có bề mặt rủi ro chính nằm ở email và server workload. Cần xác minh mô hình tiêu thụ dựa trên tín dụng và mức sử dụng thực tế.
Cisco XDR
Cisco XDR đạt điểm tốt về phạm vi bao phủ và điểm mở cao thứ hai, với việc tích hợp của bên thứ ba là mục tiêu thiết kế cốt lõi.
Điểm mạnh là khả năng tương tác mở với dữ liệu của bên thứ ba, bối cảnh mạng mạnh mẽ từ hệ sinh thái mạng của Cisco và thông tin tình báo Talos. Giải pháp này phù hợp với các tổ chức có hạ tầng mạng Cisco nhưng sử dụng nhiều công cụ bảo mật khác nhau.
Người dùng lý tưởng là các môi trường mạng Cisco với các công cụ bảo mật đa dạng. Cần xác minh công cụ hiện có nào được hỗ trợ gốc so với qua trình kết nối chung.
Trellix XDR
Trellix XDR đạt điểm ổn định về phạm vi bao phủ và tương quan, tận dụng danh mục phát hiện kết hợp từ McAfee Enterprise và FireEye trên endpoint, mạng, email và sandbox.
Điểm mạnh bao gồm danh mục phát hiện gốc rộng, khả năng chống lại các cuộc tấn công có chủ đích mạnh mẽ, và tùy chọn triển khai tại chỗ. Kiến trúc mở với thư viện tích hợp lớn cho các công cụ SOC doanh nghiệp cũng là một điểm cộng.
Người dùng lý tưởng là các hệ thống Trellix hiện có muốn hợp nhất khả năng phát hiện. Cần thảo luận rõ ràng về lộ trình sản phẩm và tên gọi danh mục sau sáp nhập.
Fortinet Security Fabric XDR
Fortinet Security Fabric XDR đạt điểm tốt về phạm vi bao phủ và tự động hóa, với khả năng vận hành cao, đặc biệt nếu mạng, endpoint, email và cloud đều thuộc Fortinet.
Điểm mạnh là giá trị tuyệt vời trong môi trường Fortinet, phản ứng tự động trên toàn bộ Security Fabric mà không cần sự can thiệp của con người, và khả năng giám sát bởi các nhóm IT tổng quát.
Người dùng lý tưởng là các tổ chức đã chuẩn hóa với Fortinet. Cần xác minh bao nhiêu dữ liệu đầu vào thực sự xuất phát từ Security Fabric.
Sophos XDR
Sophos XDR đạt điểm vận hành hoàn hảo, khiến nó trở thành một nền tảng mà đội ngũ IT nhỏ có thể thực sự vận hành hiệu quả.
Điểm mạnh bao gồm giao diện người dùng thân thiện, hướng dẫn điều tra cho các nhóm không có kinh nghiệm săn lùng mối đe dọa, và bảo mật đồng bộ trên endpoint, tường lửa và email. Việc tích hợp với Secureworks gần đây bổ sung chiều sâu nghiên cứu từ Counter Threat Unit.
Người dùng lý tưởng là các tổ chức tầm trung không có chuyên gia phân tích an ninh chuyên trách. Cần xác minh giới hạn lưu trữ dữ liệu và cách tích hợp khả năng của Secureworks.
eSentire Atlas XDR
Nền tảng Atlas XDR của eSentire tương quan dữ liệu từ nhiều nguồn bảo mật, kết hợp phát hiện tự động với hoạt động an ninh 24/7 và săn lùng mối đe dọa.
Điểm mạnh bao gồm kiến trúc open XDR, phạm vi bao phủ dữ liệu rộng, khả năng phát hiện và phản hồi được quản lý mạnh mẽ, cùng việc săn lùng mối đe dọa 24/7 giúp giảm đáng kể khối lượng công việc cho các đội ngũ an ninh nội bộ.
Người dùng lý tưởng là các tổ chức có môi trường bảo mật đa dạng, mong muốn khả năng open XDR kết hợp với phát hiện, săn lùng và phản hồi được quản lý. Cần xác minh khả năng tích hợp bên thứ ba, yêu cầu nhập dữ liệu và mức độ bao phủ SOC 24/7.
So sánh và lựa chọn
Khi so sánh Palo Alto Cortex XDR và CrowdStrike Falcon XDR, Cortex tương quan bộ dữ liệu gốc rộng hơn, đặc biệt là mạng, trong khi CrowdStrike vượt trội về dữ liệu endpoint, thông tin tình báo mối đe dọa và săn lùng được quản lý. Nếu bạn sở hữu tường lửa Palo Alto, Cortex là lựa chọn mạnh mẽ hơn. Nếu endpoint là trọng tâm và bạn cần người săn lùng mối đe dọa, CrowdStrike là lựa chọn phù hợp.
Microsoft Defender XDR là một lựa chọn hợp lý cho các tổ chức Microsoft 365 E5, mang lại hiệu quả kinh tế cao. Tuy nhiên, cần cân nhắc việc tập trung phát hiện với nhà cung cấp năng suất và chi phí cho dữ liệu bên thứ ba khi thêm Sentinel.
XDR và SIEM có sự chồng chéo và ngày càng hội tụ. XDR tương quan dữ liệu an ninh thành các sự cố với ít nỗ lực kỹ thuật hơn, trong khi SIEM tiếp nhận mọi thứ, bao gồm cả log không liên quan đến an ninh, và yêu cầu bạn tự xây dựng các quy tắc phát hiện. Nhiều tổ chức trưởng thành vận hành cả hai hệ thống. Các đội nhỏ nên bắt đầu với XDR vì SIEM mà không có thời gian tinh chỉnh sẽ không mang lại kết quả.
Trước khi yêu cầu báo giá, hãy kiểm tra các nguồn dữ liệu bạn cần tương quan. Lập danh sách mọi nguồn bao gồm endpoint, tường lửa, email, nhà cung cấp định danh, tài khoản cloud, ứng dụng SaaS và đánh dấu nguồn nào là gốc của mỗi nhà cung cấp. Bảng này sẽ quyết định danh sách rút gọn của bạn nhanh hơn bất kỳ so sánh tính năng nào.
Mô hình hóa chi phí nhập dữ liệu một cách rõ ràng. Giá XDR ngày càng phụ thuộc vào khối lượng dữ liệu, và đây là nơi ngân sách thường bị vượt quá. Yêu cầu báo giá bằng văn bản dựa trên khối lượng log thực tế của bạn, kèm theo chính sách xử lý khi vượt quá.
Đo lường mức giảm cảnh báo trong giai đoạn thử nghiệm (PoC). Chỉ số quan trọng là số lượng sự cố mỗi tuần yêu cầu sự chú ý của nhà phân tích, so với những gì công cụ hiện tại của bạn tạo ra. Nếu XDR không giảm được con số này, nó đã không hoàn thành nhiệm vụ.
Quyết định câu hỏi về mô hình native-versus-open trước tiên. Đây là một quyết định kiến trúc và nó sẽ ảnh hưởng đến mọi thứ về sau, bao gồm cả việc nền tảng bạn mua có còn phù hợp trong ba năm tới hay không.
Các lỗi phổ biến bao gồm việc mua XDR nhưng bỏ qua dữ liệu định danh, coi thường vai trò của XDR trong việc thay thế nhu cầu về phát hiện và phản hồi được quản lý (MDR), và trả giá nền tảng để tương quan dữ liệu bên thứ ba một cách kém hiệu quả.
Tầm quan trọng của XDR
Extended detection and response (XDR) tương quan dữ liệu an ninh từ nhiều nguồn như endpoint, mạng, email, định danh và cloud thành các sự cố thống nhất. Nó áp dụng phân tích trên toàn bộ dữ liệu kết hợp thay vì xem xét từng nguồn riêng lẻ.
Mục tiêu là tạo ra ít sự cố hơn, nhưng có chất lượng cao hơn, thay vì nhiều cảnh báo từ nhiều bảng điều khiển khác nhau. Điều này giúp các đội ngũ an ninh tập trung vào các mối đe dọa thực sự và phản ứng hiệu quả hơn.
Palo Alto Cortex XDR dẫn đầu về độ sâu tương quan và phạm vi dữ liệu gốc. CrowdStrike theo sát ở kỹ thuật phát hiện và thông tin tình báo mối đe dọa. Microsoft Defender XDR là lựa chọn hợp lý cho các tổ chức Microsoft 365 E5, trong khi SentinelOne Singularity cung cấp khả năng tự động hóa phản hồi mạnh mẽ cho các đội nhỏ.
XDR tương quan dữ liệu an ninh với nội dung phát hiện do nhà cung cấp cung cấp và duy trì. SIEM tiếp nhận log từ mọi nơi, bao gồm cả các nguồn không liên quan đến an ninh, và thường yêu cầu bạn tự xây dựng và tinh chỉnh các quy tắc phát hiện. XDR mang lại giá trị nhanh hơn, trong khi SIEM linh hoạt hơn và tốt hơn cho việc lưu giữ log tuân thủ quy định. Nhiều tổ chức vận hành cả hai.
Native XDR tương quan dữ liệu mà nhà cung cấp thu thập với các sản phẩm của chính họ, mang lại khả năng tương quan sâu hơn và nhanh hơn với chi phí là sự chuẩn hóa với nhà cung cấp đó. Open XDR xem dữ liệu của bên thứ ba là nguồn hạng nhất, cho phép bạn giữ lại các công cụ hiện có với khả năng tương quan thường nông hơn. Lựa chọn phụ thuộc vào mức độ chuẩn hóa của môi trường hiện tại.
XDR không nhất thiết thay thế hoàn toàn EDR. Nếu endpoint là bề mặt rủi ro chính của bạn và đội ngũ của bạn nhỏ, EDR với tự động hóa mạnh mẽ có thể đủ. XDR chứng minh giá trị của nó khi các cuộc tấn công tiến triển qua nhiều bề mặt khác nhau (phishing đến endpoint, định danh, cloud) và bạn cần kết nối các sự kiện đó.
Hầu hết các nhà cung cấp EDR bán XDR như một cấp phép cao hơn EDR. XDR thường được định giá trên mỗi endpoint hoặc người dùng, cộng với phí nhập dữ liệu tăng theo khối lượng log. Microsoft Defender XDR được bao gồm trong Microsoft 365 E5. Các giải pháp khác phần lớn dựa trên báo giá, và chi phí nhập dữ liệu là biến số thường gây vượt ngân sách. Hãy mô hình hóa nó một cách rõ ràng trước khi ký hợp đồng.
Palo Alto Cortex XDR dẫn đầu về độ sâu tương quan và phạm vi dữ liệu gốc, và là lựa chọn phù hợp cho các môi trường Palo Alto có SOC. CrowdStrike là lựa chọn hàng đầu khi chất lượng phát hiện endpoint và săn lùng được quản lý quan trọng nhất, SentinelOne khi tự động hóa phải thay thế cho số lượng nhân sự, và Microsoft Defender XDR khi bạn đã sở hữu E5 – lợi thế kinh tế là không thể bàn cãi. Sophos xứng đáng được xem xét nghiêm túc từ các đội ngũ tầm trung vì họ thực sự sẽ sử dụng nó.
Hãy quyết định vấn đề native-versus-open trước, sau đó mô hình hóa chi phí nhập dữ liệu của bạn. Hai quyết định này sẽ xác định liệu XDR có giảm khối lượng công việc của bạn hay chỉ đơn giản là di chuyển nó.
