Comprensione di MDR, EDR, EPP e XDR

Il settore della sicurezza informatica è noto per aver coniato termini e acronimi che vanno e vengono in disgrazia prima ancora di avere la possibilità di essere pienamente compresi. Lo capiamo: una rapida innovazione può essere disordinata e portare a confusione e disordine. Sebbene sia emozionante e incoraggiante vedere così tanti fornitori di soluzioni inventare nuove soluzioni e migliorarne altre, dando vita a nuovi concetti, a volte tutta questa terminologia è onestamente solo uno sforzo per distinguersi dalla massa. Di conseguenza, i leader aziendali e IT si chiedono di quali soluzioni di sicurezza informatica abbiano veramente bisogno, quali siano ridondanti e quali siano complementari.

Quindi, questo è lo sforzo di Netsurion per chiarire le cose, per aiutarti a separare i fatti dalla finzione e, in definitiva, a fare la scelta migliore in termini di soluzioni di sicurezza informatica per la tua organizzazione.

MDR

Questo è stato un termine caldo negli ultimi anni. Al Managed Detection and Response (MDR) manca effettivamente una parola. La parola presunta è “minaccia”, come nel rilevamento e nella risposta gestita alle minacce. Alcuni sostengono che la parola mancante sia "endpoint", ma questo rientra nell'EDR, che sì, potrebbe essere fornito come servizio gestito... ma ne parleremo più avanti.

Cosa costituisce esattamente l’MDR? MDR non è una tecnologia: è un servizio. Ciò che rende MDR unico è il suo focus sullo sfruttamento della tecnologia e delle competenze per monitorare continuamente le risorse IT, per rilevare rapidamente e rispondere in modo efficace alle vere minacce alla sicurezza informatica.

La tecnologia alla base di un servizio MDR può includere una serie di opzioni e questa è una cosa importante da comprendere quando si valutano i fornitori MDR. Lo stack tecnologico alla base del servizio determina la portata degli attacchi accessibili per il rilevamento. La sicurezza informatica riguarda la “difesa approfondita”, ovvero disporre di più livelli di protezione per contrastare i molteplici vettori di attacco possibili. Vengono utilizzate varie tecnologie per fornire una visibilità più completa e quindi capacità di rilevamento e risposta più complete. Per citarne alcuni, alcune delle tecnologie alla base di un servizio MDR includono:

• SIEM (sicurezza delle informazioni e gestione degli eventi)
• NTA (Analisi del traffico di rete)
• EPP (piattaforma di protezione degli endpoint)
• IDS (Sistema di rilevamento delle intrusioni)

EDR

Se MDR riguarda il rilevamento e la risposta gestiti alle minacce, cos’è l’EDR? EDR sta per rilevamento e risposta dell'endpoint. Ancora una volta, manca la parola “minaccia” poiché il nome del gioco non rileva l’esistenza degli endpoint. A volte indicato, meno comunemente ma più correttamente, come ETDR, la differenza tra MDR ed EDR è l'ambito. L'EDR si concentra specificamente sul rilevamento e sulla risposta alle minacce nell'ambiente endpoint. Ciò significa che l’EDR si concentra sull’attività sul dispositivo anziché sulla rete: si pensi ai laptop, ai server e ai dispositivi aziendali critici come i sistemi POS.

Per comprendere meglio cosa è e cosa non è l’EDR, è necessario innanzitutto rendersi conto che “rilevamento e risposta” sono solo due elementi del quadro di sicurezza informatica Predict, Prevent, Detect e Respond. Per una completa trasparenza, in vero stile di sicurezza informatica con una terminologia competitiva e sovrapposta, questo è molto simile alle cinque funzioni del NIST Cybersecurity Framework: identificare, proteggere, rilevare, rispondere, ripristinare. Ma resta con me, comprendiamolo alla luce del framework Predict, Prevent, Detect e Respond.

L'EDR si occupa delle minacce che hanno superato le funzioni Predict e Prevent. Molto importante: sì, ma non una piattaforma di protezione endpoint completa. Il che ci porta al nostro prossimo mandato: il PPE.

PPE

EPP sta per piattaforma di protezione degli endpoint. Non preoccuparti dell'introduzione del termine "piattaforma" a questo punto, poiché ciò potrebbe dare inizio a tutta un'altra battaglia tra nerd. Concentratevi piuttosto sul termine “protezione”. Mentre l’EDR si concentra sul rilevamento e sulla risposta alle minacce agli endpoint, l’EPP è più completo in quanto copre le quattro funzioni di sicurezza informatica di Previsione, Prevenzione, Rilevamento e Risposta, pur essendo focalizzato esclusivamente sull’ambiente endpoint. Pertanto, le soluzioni EPP a vari livelli possono comprendere l’EDR. Ma il diavolo è nei dettagli. Ciò che è importante notare è che, poiché nessun EPP è efficace al 100%, è necessario chiedersi quale rilevamento e risposta si dispone per gli attacchi che eludono i controlli di prevenzione.

Parlando di prevenzione, l’EPP sostituisce più comunemente le soluzioni di prevenzione di base come antivirus e antimalware che sono efficaci solo a vari livelli contro le minacce conosciute. Le soluzioni EPP più avanzate sfruttano l’intelligenza artificiale (AI) per aumentare la capacità di contrastare attacchi sconosciuti o zero-day, o anche attacchi fileless che non lasciano impronte basate sulle firme.

In breve:

MDR è un servizio di sicurezza informatica gestito supportato da varie tecnologie per fornire una gamma di funzionalità di rilevamento e risposta alle minacce per mitigare i danni causati da attacchi informatici che eludono i controlli di prevenzione. Gli strati di tecnologia impiegati, la vigilanza e la competenza del personale determinano quanto veramente efficace possa essere un fornitore di MDR.

EDR ha uno scopo simile ma si concentra solo sugli ambienti endpoint. Le soluzioni EDR possono essere esclusivamente tecnologiche o un servizio gestito, come nel caso dell'EDR gestito. Mi scuso ora per aver aggiunto quel termine al mix.

L’EPP è una protezione più completa che copre il ciclo di vita di una minaccia, dalla previsione e prevenzione al rilevamento e risposta. Tuttavia, l'efficacia su ciascuna di queste quattro funzioni varia da fornitore a fornitore.

XDR

No, non ti stiamo illudendo. Abbiamo un altro termine di rilevamento e risposta. La "X" in XDR trasmette il concetto di rilevamento e risposta alle minacce attraverso più controlli di sicurezza, considerando sia l'endpoint che l'attività di rete. Sì, il rilevamento e la risposta alle minacce sugli endpoint e sulla rete rappresentano un'evoluzione naturale, o forse una convergenza, di diverse soluzioni, principalmente SIEM ed EPP. Potresti iniziare a vedere più buzz intorno a XDR, ma in realtà è un termine utile per denotare che una soluzione è in grado di aggregare e correlare la telemetria da molti controlli di sicurezza per difendere in modo più olistico l'infrastruttura IT. Ricorda solo che questo termine da solo non incapsula quali controlli specifici sono inclusi. Né implica che la soluzione sia gestita da un team del Security Operations Center (SOC).

Blocco modale video

MSSP

Ma non è tutto. Cos’è un MSSP? Un fornitore di servizi di sicurezza gestiti ha una natura più ampia e si riferisce a un'organizzazione (persone + tecnologia), non a un singolo servizio. Mentre MDR è un servizio implementato da molti MSSP, che si concentra sul rilevamento e sulla risposta attiva alle minacce, un MSSP si occupa anche della gestione centralizzata dei log per il reporting di conformità e i rapporti investigativi. Un MSSP dovrebbe inoltre disporre di un SOC robusto, dotato di personale completo e dotato di tecnologia - in genere una piattaforma basata su SIEM - e di una serie di esperti di sicurezza informatica tra cui amministratori della piattaforma di sicurezza, analisti della sicurezza, analisti di malware, un laboratorio di intelligence sulle minacce e analisti di risposta agli incidenti. In generale, un MSSP ha i mezzi per integrare le funzionalità MDR, EDR ed EPP in un pacchetto completo. Questo potrebbe essere l’ideale per i team IT a corto di risorse che devono concentrarsi su qualcosa di più della semplice sicurezza informatica e vogliono avere la certezza di sapere che un team di esperti con gli strumenti giusti si guarda le spalle.