XDR laptop Giacomo Lanzi

XDR come approccio alla sicurezza

Estimated reading time: 6 minuti

Proprio come qualsiasi altro campo IT, il mercato della cybersecurity è guidato dall’hype. Attualmente si fa hype verso l’XDR, ossia eXtended Detection and Response.

XDR è la novità per quello che concerne il rilevamento e alla risposta alle minacce, un elemento chiave della difesa dell’infrastruttura e dei dati di un’azienda.

Cos’è esattamente l’XDR?

XDR è un’alternativa ai tradizionali approcci reattivi che forniscono solo una layer visibility sugli attacchi. Mi riferisco a procedure come il rilevamento e la risposta degli endpoint (EDR), l’analisi del traffico di rete (NTA) e i SIEM, di cui abbiamo parlato in molti altri articoli.

La layer visibility implica che si adottino diversi servizi, stratificati (layer), che tengono sotto controllo ciascuno una specifica entità nell’infrastruttura. Questo può essere problematico. Infatti, bisogna assicurarsi che i livelli non finiscano isolati, rendendo difficile, o quasi impossibile gestire e visualizzare i dati. La layer visibility fornisce informazioni importanti, ma può anche portare a problemi, tra cui:

Collezionare troppi avvisi incompleti e senza contesto. L’EDR rileva solo il 26% dei vettori iniziali di attacco e a causa dell’elevato volume di avvisi di sicurezza, il 54% dei professionisti della sicurezza ignora gli avvisi che dovrebbero essere indagati.
Indagini complesse e dispendiose in termini di tempo che richiedono competenze specialistiche. Con l’EDR, il tempo medio per identificare una violazione è aumentato a 197 giorni, e il tempo medio per contenere una violazione è aumentato a 69 giorni.
Strumenti incentrati sulla tecnologia piuttosto che sull’utente o sul business. L’EDR si concentra sulle lacune tecnologiche piuttosto che sulle esigenze operative degli utenti e delle aziende. Con più di 40 strumenti utilizzati in un Security Operations Center (SOC) medio, il 23% dei team di sicurezza passa il tempo a mantenere e gestire gli strumenti di sicurezza piuttosto che eseguire indagini. (Fonte)

XDR raccolta dati

Per i team di sicurezza già sovraccarichi, il risultato può essere un flusso infinito di eventi, troppi strumenti e informazioni da alternare, tempi più lunghi per il rilevamento e spese per la sicurezza che superano il budget e non sono nemmeno pienamente efficaci.

La novità nell’eXtended Detection Response

XDR implementa un approccio proattivo al rilevamento delle minacce e alla risposta. Offre visibilità sui dati attraverso le reti, i cloud e gli endpoint, mentre applica l’analisi e l’automazione per affrontare le minacce sempre più sofisticate di oggi. I vantaggi dell’approccio XDR per i team di sicurezza sono molteplici:

Identificare le minacce nascoste, furtive e sofisticate in modo proattivo e rapido.
Tracciare le minacce attraverso qualsiasi fonte o posizione all’interno dell’organizzazione.
Aumentare la produttività delle persone che operano con la tecnologia.
Ottenere di più dai loro investimenti in sicurezza.
Concludere le indagini in modo più efficiente.

Dal punto di vista del business, XDR permette alle compagnie di individuare i cyber threat e fermare gli attacchi, oltre a semplificare e rafforzare i processi di sicurezza. Di conseguenza, consente alle aziende di servire meglio gli utenti e accelerare le iniziative di trasformazione digitale. Quando utenti, dati e applicazioni sono protetti, le aziende possono concentrarsi sulle priorità strategiche.

Perché considerarlo per la propria azienda

I due motivi principali per cui è vantaggioso questo tipo di approccio sono: gli endpoint non hanno visibilità sulle minacce in luoghi come i servizi cloud, inoltre, potrebbe non essere possibile mettere un software agent su tutti gli endpoint dell’azienda.

Ma ci sono anche altre motivazioni da considerare. L’aggiunta di altre fonti di dati può fornire maggiore contesto nei risultati dell’EDR, migliorando il triage e l’indagine degli avvisi. I provider si stanno movimentando non solo per fornire maggiori dati meglio organizzati, ma anche consegnando piattaforme di analisi per alleggerire il carico analitico sugli operatori. Questo si traduce in facilità d’uso e costi operativi ridotti.

L’XDR può sembrare molto attraente come prodotto: Integrazione stretta delle parti, contenuto altamente sintonizzato (poiché il fornitore ha il controllo totale sugli eventi dalle fonti di dati), uso di analitiche e automazione della risposta.

XDR dati virtuali

A cosa prestare attenzione prima dell’adozione

Alcuni provider stanno posizionando il loro XDR come la soluzione definitiva al rilevamento delle minacce. Tuttavia, molti fornitori non sono in grado di offrire tutti gli strumenti necessari per ottenere il vantaggio venduto. Alcuni provider offrono nel pacchetto il monitoring di endpoint e cloud, altri di endpoint e rete, ma se si esaminano le esigenze complete della maggior parte delle organizzazioni, ci sono spesso dettagli mancanti nell’immagine complessiva.

Se poi, una volta che l’azienda si impegna con un provider e nota una mancanza in uno dei settori monitorati, quali sono le possibili soluzioni? Si genera una situazione di vendor lock-in da cui svincolarsi significa recidere un contratto per poi aprirne un altro, con tutti i costi che ne conseguono.

L’XDR come un approccio, non come prodotto

Prima di sottoscrivere un contratto con un provider che vende un soluzione come definitiva, è sempre bene soppesare in modo analitico i vantaggi e le implicazioni.

L’integrazione stretta e bidirezionale di più capacità di rilevamento e risposta alle minacce è la prima caratteristica distintiva. Ma non è necessario acquistare due componenti tecnologici dallo stesso fornitore per ottenere una buona integrazione. Infatti, molti prodotti hanno la capacità di integrarsi con alcune soluzioni di altri fornitori come uno dei loro principali punti di forza.

L’approccio XDR deve fornire una piattaforma che consente la necessaria raccolta e conservazione dei dati, ma anche forti capacità di analisi, di orchestrare e automatizzare le azioni di risposta fornite dalle altre parti della soluzione. Un Next Generation SIEM cloud based è una soluzione perfetta.

Come muoversi dunque?

L’interesse per i prodotti XDR è un chiaro segnale che l’eccessiva frammentazione stava portando un’eccessiva complessità. Un po’ di consolidamento è un bene, ma deve essere fatto proteggendo la flessibilità e la capacità di seguire le soluzioni migliori.

Secondo noi, un SOCaaS è una soluzione ottimale. Fornisce un SIEM di nuova generazione, con forti capacità di analisi. Inoltre, integra anche un’intelligenza artificiale che aiuta nel riconoscere in tempo le minacce tramite l’analisi del comportamento. Un SOCaaS è il futuro delle piattaforme operative di sicurezza.

Per sapere con i nostri servizi possono aiutarti a proteggere i dati della tua azienda e dei tuoi clienti, contattaci, risponderemo volentieri a ogni tuo dubbio.

Useful links:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS darkreading

RSS Full Disclosure

  • MetaFox Remote Shell Upload Exploit Marzo 13, 2024
    Posted by [email protected] on Mar 13#!/usr/bin/env python3# Exploit Title: MetaFox Remote Shell Upload# Google Dork: "Social network for niche communities"# Exploit Author: The Joker# Vendor Homepage: https://www.phpfox.com# Version:
  • SEC Consult SA-20240307-0 :: Local Privilege Escalation via writable files in Checkmk Agent (CVE-2024-0670) Marzo 13, 2024
    Posted by SEC Consult Vulnerability Lab, Research via Fulldisclosure on Mar 13SEC Consult Vulnerability Lab Security Advisory < 20240307-0 > ======================================================================= title: Local Privilege Escalation via writable files product: Checkmk Agent vulnerable version: 2.0.0, 2.1.0, 2.2.0 fixed version: 2.1.0p40, 2.2.0p23, 2.3.0b1, 2.4.0b1 CVE number: CVE-2024-0670 impact: high homepage: https://checkmk.com...
  • HNS-2024-05 - HN Security Advisory - Multiple vulnerabilities in RT-Thread RTOS Marzo 13, 2024
    Posted by Marco Ivaldi on Mar 13Hi, Please find attached a security advisory that describes multiple vulnerabilities we discovered in RT-Thread RTOS. * Title: Multiple vulnerabilities in RT-Thread RTOS * OS: RT-Thread
  • APPLE-SA-03-12-2024-1 GarageBand 10.4.11 Marzo 13, 2024
    Posted by Apple Product Security via Fulldisclosure on Mar 13APPLE-SA-03-12-2024-1 GarageBand 10.4.11 GarageBand 10.4.11 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT214090. Apple maintains a Security Updates page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. GarageBand Available for: macOS Ventura and macOS Sonoma Impact: Processing a […]
  • APPLE-SA-03-07-2024-7 visionOS 1.1 Marzo 13, 2024
    Posted by Apple Product Security via Fulldisclosure on Mar 13APPLE-SA-03-07-2024-7 visionOS 1.1 visionOS 1.1 addresses the following issues. Information about the security content is also available at https://support.apple.com/kb/HT214087. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. Accessibility Available for: Apple Vision Pro Impact: An app may be […]
  • APPLE-SA-03-07-2024-6 tvOS 17.4 Marzo 13, 2024
    Posted by Apple Product Security via Fulldisclosure on Mar 13APPLE-SA-03-07-2024-6 tvOS 17.4 tvOS 17.4 addresses the following issues. Information about the security content is also available at https://support.apple.com/kb/HT214086. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. Accessibility Available for: Apple TV HD and Apple TV 4K (all […]
  • APPLE-SA-03-07-2024-5 watchOS 10.4 Marzo 13, 2024
    Posted by Apple Product Security via Fulldisclosure on Mar 13APPLE-SA-03-07-2024-5 watchOS 10.4 watchOS 10.4 addresses the following issues. Information about the security content is also available at https://support.apple.com/kb/HT214088. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. Accessibility Available for: Apple Watch Series 4 and later Impact: A […]
  • APPLE-SA-03-07-2024-4 macOS Monterey 12.7.4 Marzo 13, 2024
    Posted by Apple Product Security via Fulldisclosure on Mar 13APPLE-SA-03-07-2024-4 macOS Monterey 12.7.4 macOS Monterey 12.7.4 addresses the following issues. Information about the security content is also available at https://support.apple.com/kb/HT214083. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. Admin Framework Available for: macOS Monterey Impact: An app […]
  • APPLE-SA-03-07-2024-3 macOS Ventura 13.6.5 Marzo 13, 2024
    Posted by Apple Product Security via Fulldisclosure on Mar 13APPLE-SA-03-07-2024-3 macOS Ventura 13.6.5 macOS Ventura 13.6.5 addresses the following issues. Information about the security content is also available at https://support.apple.com/kb/HT214085. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. Admin Framework Available for: macOS Ventura Impact: An app […]
  • APPLE-SA-03-07-2024-2 macOS Sonoma 14.4 Marzo 13, 2024
    Posted by Apple Product Security via Fulldisclosure on Mar 13APPLE-SA-03-07-2024-2 macOS Sonoma 14.4 macOS Sonoma 14.4 addresses the following issues. Information about the security content is also available at https://support.apple.com/kb/HT214084. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. Accessibility Available for: macOS Sonoma Impact: A malicious app […]

Customers

Newsletter

{subscription_form_2}