При избора на управлявани услуги за откриване и реакция при киберинциденти организациите трябва да оценяват не само времето за реакция и денонощното наблюдение, но и доколко доставчикът може да анализира събитията от различните слоеве на ИТ инфраструктурата.

Денонощният център за наблюдение и реакция при инциденти (SOC) и кратките срокове за реакция често са сред първите критерии, по които доставчиците на управлявани услуги за сигурност (MSP) оценяват предложенията за управлявано откриване и реакция (MDR). Тези показатели са важни, но сами по себе си не показват доколко ефективна ще бъде услугата. Решаващо значение има и каква част от инфраструктурата на клиента е видима за доставчика, какъв контекст получават анализаторите и какви действия могат да предприемат при установена заплаха.

Денонощното наблюдение не гарантира пълна защита, ако системата получава ограничени данни или работи само с отделни сигнали, без да може да ги свърже в обща картина. В такава ситуация дори опитните анализатори могат да пропуснат връзката между привидно несвързани събития, които всъщност са части от една продължаваща атака.

Когато отделните сигнали не разкриват цялата атака

Съвременните атаки рядко се ограничават до една система или една технология. Компрометирането на потребителски профил може да бъде последвано от неоторизиран достъп до крайно устройство, придвижване между системи в мрежата и извличане на информация чрез облачна услуга.

Ако MDR услугата наблюдава само крайните устройства, отделните действия могат да изглеждат като несвързани събития с нисък приоритет. Когато обаче данните от крайните устройства се съпоставят с информацията за самоличността, мрежовия трафик и облачните приложения, може да се открие последователност, показваща реално протичащ инцидент.

Това е съществената разлика между регистрирането на сигнали и откриването на атаки. Качеството на анализа зависи не само от опита на екипа, но и от пълнотата, надеждността и контекста на данните, с които той разполага.

Когато информацията е непълна или изолирана в отделни системи, разследването се забавя, някои събития остават незабелязани, а реакцията може да започне едва след като атаката вече е засегнала допълнителни ресурси.

Широчина на покритието и дълбочина на интеграциите

MDR услугите могат да се различават съществено по начина, по който събират и обработват информация от клиентската инфраструктура.

Единият подход е специализацията в ограничен набор от технологии, често с акцент върху крайните устройства. Това позволява задълбочен анализ в конкретната област, но може да остави слепи зони, когато средата на клиента включва различни защитни стени, решения за крайни устройства и доставчици на услуги за управление на цифровата самоличност.

Подобен модел е по-труден за прилагане при MSP доставчици, които обслужват множество организации с различни технологични конфигурации. Ако услугата работи ефективно само с предварително определен набор от продукти, всяко отклонение от него може да ограничи видимостта и възможностите за реакция.

Другият подход поставя акцент върху широката съвместимост с различни решения. Той позволява включването на данни от повече системи, но броят на интеграциите не е достатъчен показател за качеството им. Някои връзки предоставят само готови известия, без необходимата подробна телеметрия, контекст или възможност за предприемане на действия през интегрираната платформа.

Така може да се постигне широко покритие на технологиите, без да се осигури необходимата дълбочина на анализа.

Ефективната MDR услуга трябва да съчетава и двете характеристики: широка съвместимост с различни среди и достатъчно задълбочени интеграции, които позволяват корелация на събитията, разследване и реакция. Това дава възможност на доставчиците да обслужват клиенти с различна инфраструктура, без да изискват всички те да използват един и същ набор от защитни продукти.

Седем въпроса при избора на MDR доставчик

Преди да избере доставчик, MSP организацията трябва да оцени не само обещаното време за реакция, но и практическите възможности на услугата. Следните седем въпроса могат да помогнат за по-обективна оценка.

1. Каква част от средата може да бъде наблюдавана?

Трябва да се установи кои източници на данни се поддържат – крайни устройства, мрежови системи, самоличности и облачни услуги. Важно е да се идентифицират и компонентите, които остават извън наблюдението.

2. Колко задълбочени са интеграциите?

Необходимо е да се провери дали интеграциите предоставят само известия или и достатъчно подробни данни за анализ. Следва да се оцени и как се поддържат връзките при актуализации на интегрираните продукти и промени в техните интерфейси.

3. Може ли услугата да свързва събития от различни слоеве?

Доставчикът трябва да обясни как съпоставя данните от различни системи, за да възстанови последователността на атаката и да разграничи отделните сигнали от реален инцидент.

4. Как се ограничават фалшивите положителни резултати и претоварването с известия?

Важно е да се разбере как се филтрират несъществените събития, как се приоритизират сигналите и как се намалява натоварването на екипите по сигурността.

5. Какви са сроковете и възможностите за реакция?

Договорените нива на обслужване (SLA) трябва да съответстват на ангажиментите, които MSP доставчикът е поел към собствените си клиенти. Трябва да се уточни какво точно означава времето за реакция, кога започва да се измерва и какви действия се предприемат в рамките на договорения срок.

6. Може ли услугата да се мащабира според нуждите на различните клиенти?

Необходимо е да се оценят възможностите за многонаемателско управление, разделяне на клиентските среди, изграждане на различни нива на обслужване и предоставяне на отчети с брандинга на доставчика или на производителя. Мащабируемостта включва не само броя на крайните устройства, но и начина, по който услугата се вписва в оперативния модел на MSP организацията.

7. Как е организирано ценообразуването?

Таксуването на крайно устройство, клиент или чрез фиксирана цена може да има различен ефект върху рентабилността. Моделът трябва да позволява предвидимо планиране на разходите и запазване на маржа при разрастване на клиентската база.

От наблюдение към управляем и доказуем резултат

MDR услугата не се изчерпва с денонощно наблюдение или поддръжка на максимален брой технологии. Тя трябва да осигурява необходимата видимост, за да могат заплахите да бъдат откривани, разследвани и ограничавани в различните компоненти на инфраструктурата.

За MSP доставчиците това има и пряко бизнес измерение. По-добрата корелация на събитията може да ускори разследването, да намали ненужните ескалации и да подобри отчетността пред клиентите. Ясните показатели за реакция позволяват по-надеждно планиране на договорните ангажименти, а многонаемателското управление улеснява обслужването на повече организации с различни технологични среди.

Тези предимства обаче трябва да бъдат оценявани според реалните възможности на конкретната услуга, а не само въз основа на маркетингови твърдения. От значение са поддържаните източници на данни, дълбочината на интеграциите, възможностите за реакция и прозрачността на отчетите.

Както подчертава и подходът, представен от WatchGuard в материала за управляваните услуги, изборът на MDR решение трябва да отчита едновременно дълбочината на анализа, широчината на покритието и гъвкавостта при работа с различни клиентски среди.

Добрата MDR услуга не просто наблюдава инфраструктурата денонощно. Тя предоставя достатъчно контекст, за да превърне отделните сигнали в разбираема картина на заплахата и да позволи навременна, обоснована реакция. За доставчика това означава не само по-ефективна защита, но и по-устойчива услуга, чиято стойност може да бъде демонстрирана пред клиентите.