作為近兩年最為熱門的安全技術(shù)方向，XDR成為被Gartner《Top Security and Risk Management Trends》報(bào)告提到的第一項(xiàng)技術(shù)和解決方案。在素有科技產(chǎn)業(yè)界風(fēng)向標(biāo)之稱的Gartner Hype Cycle(技術(shù)成熟曲線)中，端點(diǎn)安全和安全運(yùn)維兩個(gè)Hype Cycle也都提及了XDR這項(xiàng)技術(shù)。
對于XDR，雖然很多安全廠商給出的定義都不盡相同，但是卻有這樣一個(gè)基本的共識：它不僅是眾多安全能力的集合，更將這些單獨(dú)的能力進(jìn)行全面協(xié)同，從而使之成為上下聯(lián)動(dòng)、前后協(xié)作的有機(jī)整體。雖然XDR仍處概念階段，但其最大優(yōu)勢在于把此前已經(jīng)發(fā)展相對成熟的安全解決方案進(jìn)行融合，發(fā)揮各自長處形成功能更為完整的解決方案。
從EDR到XDR，看懂“點(diǎn)線面體”才有能力談安全戰(zhàn)略
提到XDR，就不得不先提及一下EDR的發(fā)展路徑，業(yè)界普遍認(rèn)為XDR源于EDR(端點(diǎn)檢測與響應(yīng))。EDR脫胎于EPP這種傳統(tǒng)安全產(chǎn)品，在EDR出現(xiàn)之前，終端安全的核心能力還在于殺毒能力。不同于以往的端點(diǎn)被動(dòng)防護(hù)思路，EDR通過云端威脅情報(bào)、機(jī)器學(xué)習(xí)、異常行為分析等方式，主動(dòng)發(fā)現(xiàn)來自外部或內(nèi)部的安全威脅，并進(jìn)行自動(dòng)化的阻止、取證、補(bǔ)救和溯源，從而有效對端點(diǎn)進(jìn)行防護(hù)。
基于特征庫的傳統(tǒng)查殺軟件由于更新速度慢，因此對新型威脅的防護(hù)響應(yīng)很慢，只能在威脅發(fā)生后進(jìn)行防護(hù)，屬于被動(dòng)防護(hù)。而EDR以主動(dòng)防護(hù)視角填補(bǔ)了傳統(tǒng)防病毒產(chǎn)品在高級威脅檢測及響應(yīng)方面的技術(shù)空白。
雖然EDR很有價(jià)值，但它的焦點(diǎn)只放在端點(diǎn)本身，屬于“點(diǎn)”的范疇，無法做到更大范圍的威脅檢測和響應(yīng)。該技術(shù)類似于從輪船舷窗往外看，視野相當(dāng)有限。如果想要得到更多方面的信息，僅從舷窗是看不出什么的，只有走上艦橋才能獲得全面視野。
因此，除了對端點(diǎn)的檢測和響應(yīng)，XDR還有另一個(gè)關(guān)鍵點(diǎn)就是NDR(網(wǎng)絡(luò)檢測與響應(yīng))。NDR是在網(wǎng)絡(luò)邊界上進(jìn)行檢測與響應(yīng)，可以用來檢測用戶在網(wǎng)絡(luò)上的行為軌跡，屬于“線”的范疇。與傳統(tǒng)的IDS產(chǎn)品相比，NDR技術(shù)不依賴于特征庫，也不基于某個(gè)特定業(yè)務(wù)或資產(chǎn)對象，而是通過對于流量變化的監(jiān)測和分析，形成相對準(zhǔn)確且能動(dòng)態(tài)調(diào)整的網(wǎng)絡(luò)流量行為模型來發(fā)現(xiàn)風(fēng)險(xiǎn)和異常，從而極大提升了對于新型威脅的檢出能力和安全運(yùn)維效率。
可以看到，無論是EDR還是NDR，都強(qiáng)調(diào)對新型高級威脅的檢測和響應(yīng)能力。正如Gartner所預(yù)測，未來五年企業(yè)網(wǎng)絡(luò)安全支出戰(zhàn)略將發(fā)生重大改變，重心將從“阻止”向“檢測”和“響應(yīng)”傾斜。微步在線CEO薛鋒也表示，檢測技術(shù)是一種核心技術(shù)，將在未來的安全方面發(fā)揮重要作用，而由情報(bào)驅(qū)動(dòng)的安全檢測和響應(yīng)體系將是大勢所趨。
微步在線CEO薛鋒
九層之臺起于壘土，“云+端點(diǎn)+流量”協(xié)同安全能力至關(guān)重要
目前，市場上不乏單一安全能力做的十分出色的廠商，各家產(chǎn)品雖然單獨(dú)應(yīng)用起來沒有問題，但由于缺乏產(chǎn)品間的聯(lián)動(dòng)，導(dǎo)致安全能力輸出各自為戰(zhàn)。
SIEM(安全信息和事件管理)作為一種成熟的安全集成方案，被很多企業(yè)用于安全運(yùn)營中心。但其弊端在于僅僅做到了日志收集，將成千上萬的告警展示出來，這對于日常安全運(yùn)營而言基本上是無效的。由于無法將多維度的日志和事件數(shù)據(jù)進(jìn)行協(xié)同分析，SIEM在檢測和響應(yīng)上存在諸多痛點(diǎn)如：抓不到、告警多、溯源難，更不用談全面感知和及時(shí)響應(yīng)了。
為了解決這個(gè)問題，不管是平時(shí)還是“戰(zhàn)時(shí)”，都需要一套能把安全數(shù)據(jù)孤島和防御孤島有序串聯(lián)、協(xié)同工作的系統(tǒng)。這時(shí)候，XDR在“端+流量”方面的協(xié)同分析能力優(yōu)勢就突顯出來。
作為一種“全面”和“立體”的解決方案，XDR不僅可以幫助安全團(tuán)隊(duì)縱觀攻擊的所有元素，還可以更清晰、準(zhǔn)確地追蹤惡意攻擊來源，對攻擊進(jìn)行結(jié)果判定，重建攻擊全貌，讓安全團(tuán)隊(duì)更好地理解發(fā)生了什么，確定攻擊發(fā)生的位置，在最有可能的實(shí)施點(diǎn)加以響應(yīng)，實(shí)現(xiàn)對威脅“面”和“體”的360°清晰認(rèn)知，以此來提高整體的檢測和響應(yīng)效率。
對于 XDR 來說，產(chǎn)品自身的功能與產(chǎn)品間的配合能力都十分重要。同時(shí)，威脅情報(bào)能力是產(chǎn)品檢測響應(yīng)能力的基礎(chǔ)，如此才能發(fā)揮“端+流量”深層次的聯(lián)動(dòng)能力。
以微步在線為例，其邁向XDR的做法在于，將威脅感知平臺TDP與主機(jī)威脅檢測響應(yīng)產(chǎn)品OneEDR結(jié)合，把網(wǎng)絡(luò)流量監(jiān)測和端點(diǎn)監(jiān)測兩部分聯(lián)動(dòng)起來。
其中，威脅感知平臺TDP，作為一種NDR服務(wù)，提供網(wǎng)絡(luò)流量的監(jiān)測，可以作為防火墻和DNS解析等安全措施的補(bǔ)充。當(dāng)前者失效，NDR的流量檢測能力可以通過網(wǎng)絡(luò)攻擊的行進(jìn)路線來判斷分析。
而主機(jī)威脅檢測響應(yīng)產(chǎn)品OneEDR，作為一種EDR服務(wù)，能夠在服務(wù)器和PC等終端內(nèi)部做安全的檢測與響應(yīng)。
值得注意的是，目前市場上大多數(shù)NDR和EDR聯(lián)動(dòng)的產(chǎn)品都做不到這一點(diǎn)，其主要原因在于一般NDR和EDR的聯(lián)動(dòng)，只能做到兩者互為彼此的眼睛，但無法使用同一個(gè)大腦來分析。XDR則將NDR和EDR的安全能力進(jìn)行深度融合，升級為一種綜合的、高維度的分析能力，其最大價(jià)值在于讓安全人員對威脅的認(rèn)知視角從“一維”進(jìn)化到“多維”。
聚焦威脅檢測與響應(yīng) 深挖以XDR為核心的綜合安全能力
目前，XDR這類新型檢測與響應(yīng)解決方案目前還處于初期階段，后續(xù)的演進(jìn)路線更多的應(yīng)該強(qiáng)化在云、端點(diǎn)、流量方面的協(xié)同分析能力，使之成為一個(gè)前后聯(lián)動(dòng)、全面檢測、深度分析、及時(shí)響應(yīng)的有機(jī)系統(tǒng)。
XDR的內(nèi)涵其實(shí)非常豐富，XDR的“X”包含所有對檢測有幫助的技術(shù)或者是產(chǎn)品，大趨勢是“兩條腿走路”，要想檢測和響應(yīng)做得好，威脅情報(bào)和機(jī)器學(xué)習(xí)能力都少不了，云端威脅情報(bào)需要做到量大、高準(zhǔn)確度、高頻率更新，機(jī)器學(xué)習(xí)則是要通過動(dòng)態(tài)建模來幫助企業(yè)建立自己的檢測響應(yīng)體系，包括企業(yè)自身的威脅情報(bào)庫、企業(yè)的誤報(bào)告警特征等。
一般而言，威脅情報(bào)做得好的廠商一般在機(jī)器學(xué)習(xí)領(lǐng)域都有著豐厚的成果積累，響應(yīng)的前提是檢測，而威脅情報(bào)也正是準(zhǔn)確檢測的核心能力，所以威脅情報(bào)能力出眾的廠商會在邁向新型檢測和響應(yīng)解決方案的時(shí)候具備先天優(yōu)勢。早期的XDR廠商包括Cisco、Fortinet、McAfee、Microsoft、Trend Micro、Sophos、FireEye和賽門鐵克。這些XDR產(chǎn)品的一大吸引力在于，由于開箱即用的集成和跨產(chǎn)品的預(yù)調(diào)檢測機(jī)制，可以快速實(shí)現(xiàn)價(jià)值。
在中國，還有一些像微步在線這類創(chuàng)新型安全廠商涉足XDR領(lǐng)域。在產(chǎn)品側(cè)，微步擁有基于網(wǎng)絡(luò)流量檢測的威脅感知平臺TDP，用于對客戶網(wǎng)絡(luò)流量、數(shù)據(jù)分析來進(jìn)行威脅感知。同時(shí)，構(gòu)建起一個(gè)廣闊的威脅情報(bào)云，通過對互聯(lián)網(wǎng)以及多個(gè)渠道中開放數(shù)據(jù)的不斷采集，再對這些數(shù)據(jù)進(jìn)行加工、分析，進(jìn)而生產(chǎn)出威脅情報(bào)，去感知攻擊者的行為、動(dòng)態(tài)以及新變化。在掌握龐大的威脅情報(bào)數(shù)據(jù)后，只需要和企業(yè)用戶的信息做比對，就能清晰地洞察企業(yè)是否受到攻擊，這是微步在線在檢測模式上與傳統(tǒng)安全廠商的本質(zhì)不同。
2021年，微步在線正式發(fā)布了主機(jī)威脅檢測響應(yīng)產(chǎn)品OneEDR，與TDP、互聯(lián)網(wǎng)安全接入服務(wù)OneDNS、本地多源威脅情報(bào)管理平臺TIP等共同構(gòu)成微步在線的“云+流量+端點(diǎn)”威脅檢測響應(yīng)模式，向XDR方向邁出了重要一步。
如今，以XDR為代表的新型檢測和響應(yīng)解決方案不僅在國內(nèi)已成為各家安全廠商關(guān)注的焦點(diǎn)，在國外也已經(jīng)有一些安全廠商提供相關(guān)的案例可以作為參考，其核心解決方案的產(chǎn)品也有一定的共性。攻擊鏈可視、根本原因分析、威脅狩獵都是此類解決方案的核心場景。
不過，XDR在國內(nèi)的落地還有一段比較長的路要走，但為未來的安全運(yùn)營提供了一種創(chuàng)新思路。不積跬步無以至千里，不積小流無以成江海。新型檢測和響應(yīng)解決方案能否成為最佳的安全解決方案，還需要全球安全廠商的共同努力。
申請創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！
