Как понять, что вам пора покупать XDR | Блог Касперского

[KL FC Bot]

Есть такое когнитивное искажение «отклонение в сторону статус-кво». Оно про то, что нам всем не нравятся перемены, поскольку «ущерб от потери статус-кво воспринимается как больший, чем потенциальная выгода». А еще есть эффект владения, когда человек больше ценит вещи, которыми уже владеет, а не те, которыми может овладеть. И еще 13 разных искажений, которые заставляют нас предпочитать то, во что уже вложены время и усилия.

К чему это я и при чем тут XDR? А я это к тому, что мы не особо любим новое. И хотя вроде бы при принятии решений об использовании того или иного нового ИБ-продукта мы хорошенько все обдумываем и взвешиваем, причем не в одиночку, в конечном итоге все равно решение принимают люди.

Как правило, если рынок начинает активно обсуждать какую-то новую систему, то реальную ее полезность пользователи признают только через пару-тройку лет. И это в лучшем случае. Есть еще вариант, когда система вообще не проходит это испытание и либо плавно сливается с существующим классом решений, либо вовсе исчезает.

Сейчас новым кандидатом, проходящим тест на полезность, стал XDR. И в данном случае под XDR я буду подразумевать платформу, в состав которой входит как минимум EDR, NTA, TI, SIEM и SOAR/IRP. То есть защита сети и конечных точек, система мониторинга и автоматизации реагирования (плейбуки разной степени вложенности и вот это все).

И, возможно, наша нелюбовь к изменениям — это очень даже неплохо. Как будто бы это поможет нам подготовиться и выжать из XDR максимум пользы. Мы же помним, что в стратегиях MITRE есть одна из заповедей, которая говорит, что надо обязательно «максимизировать пользу от закупленных технологий». Да и вообще, вдруг нам не нужен XDR? Как понять, стоит ли отдать много денег вендору?

Как понять, не пора ли купить XDR?

На мой взгляд, существует достаточно четкий критерий: XDR должен автоматизировать уже существующие процессы и механизмы, а не становиться новым продуктом в SOC. Ну в крайнем случае — автоматизировать процессы и механизмы, о которых сотрудники SOC уже задумались и реализацию которых запланировали. Потому что если автоматизировать бардак — получится просто автоматизированный бардак. А хотелось бы получить процесс управления информационной безопасностью.

Получается, если мы хотим использовать XDR — нам надо сначала выстроить все процессы. От выявления до реагирования. Давайте посмотрим, что тут можно сделать своими руками, без волшебной «XDR-коробки» от вендора. А потом подумаем, в каком случае она все-таки может нам пригодиться.

Если посмотреть на классические определения SOC, то вы увидите, что это либо исключительно команда аналитиков, либо совокупность людей, процессов и только в последнюю очередь — технологий.

Поэтому первым делом нужно выстраивать процессы в общечеловеческом понимании: определить, что в целом происходит в инфраструктуре, кто за что отвечает и кто поможет решить какие проблемы в случае чего. И тут особо не помогут никакая автоматизация и никакие инструменты: придется что-то придумывать самостоятельно. Ну или списать готовое, это тоже хороший вариант — не зря же методологи пишут тонны всевозможных документов про лучшие практики.

 

Посмотреть статью полностью

[Umnik]

Я не знаю, что такое XDR. Честно не знаю. Решил почитать статью и... Редакторы, делайте вычитывание, пожалуйста.

 

Quote

«ущерб от потери статус-кво воспринимается как больший, чем потенциальная выгода»

Цитата из Википедии и она не полная. Эта цитата создаёт ощущение у читателя, что суть с самом статусе. Но нет, полная цитата из Вики не оставляет двоякости восприятия:

Quote

ущерб от потери статус-кво воспринимается как больший, чем потенциальная выгода при его смене на альтернативный вариант

Только второе предложение и уже лажа. Впрочем, в вики описание тоже такое себе. Я часто решаю сохранять как есть в разных вопросах, потому что выработанные стратегии эффективны, а изменение не бесплатное. Потенциальная выгода может быть, а может не быть. Если же стратегия не эффективная, то без проблем можно менять. Разумеется, частный пример не считается, но просто такого объяснения в вики не было (или я не увидел), что ставит статью под сомнение. И, как итог, эту статью, которая использует цитирование из Вики. А, и кстати, тоже интересное замечание. Приведённая цитата в Вики была взята из источника, которого более не существует. Других ссылок нет. То есть вот эта статья про XDR (я ещё не знаю, что это) начинается с НЕПРАВИЛЬНОЙ цитаты того, что даже уже проверить нельзя. Источник удалён. Единственный источник.

 

 

 

Quote

человек больше ценит вещи, которыми уже владеет, а не те, которыми может овладеть

Снова из википедии цитата. Полез проверять, там так и написано. А я сижу и не понимаю, а как может иначе то быть? У меня ЕСТЬ вещь и я её ЦЕНЮ. У меня НЕТ вещи и как тогда я могу её ценить? Но внизу этот статьи есть всего одно вот такое предложение:

Quote

Они провели более надежный эксперимент с теми же товарами, используемыми Канеманом, Кнетчем и Талером[5] (шоколадные батончики и кружки) и этот эффект не подтвердился.

Кажется, это то, с чего вообще стоило начинать. Есть мнение, что человек выше цени то, чем владеет, чем то, чем не владеет. Своя рубашка ближе к телу, лучше синица в руке и всё такое. Тоже мне, феномен. Так ещё потом оказывается, что тут не всё так просто, а значит этот "феномен" (такой феномен, что все знают, что поговорки про это столетия уже) выбросить можно.

 

1 hour ago, KL FC Bot said:

И еще 13 разных искажений, которые заставляют нас предпочитать то, во что уже вложены время и усилия

Все остальные такие же не пришей кобыле хвост?

 

Quote

Сейчас новым кандидатом, проходящим тест на полезность, стал XDR. И в данном случае под XDR я буду подразумевать платформу, в состав которой входит как минимум EDR, NTA, TI, SIEM и SOAR/IRP. То есть защита сети и конечных точек, система мониторинга и автоматизации реагирования (плейбуки разной степени вложенности и вот это все).

Да что это такое?! Чем это отличается от уже существующих систем, которые под капотом грепают логи и рисует графики для бездельников на экране?

 

Quote

Но очень велик шанс, что нам никто не разрешит просто так взять и заблокировать что-то где-то — это потребует согласования.

Не имеет отношения к делу. Это вопрос организации работы. Тут вообще никакое решение, кроме антивируса не требуется:

1. Антивирус обнаруживает проблему
2. Сообщает на сервер администрирования об инциденте
3. Сервер переводит его в карантинную подсеть. Туда можно добраться для пролечивания и проверок удалённых, но нельзя добраться до других узлов. Просто изолированная подсеть

Не вижу здесь никаких проблем. Проблема может быть, если бы это был компьютер, который нельзя изолировать от сети. Но опять же, это организационный вопрос. Сели, репу почесали, как делать в том или ином случае и создали правила. Весь мир так живёт, тонны оффлайн событий так работают: вот тебе правила на снегопад, вот на наводнение, вот на прорыв канализации, вот на отключение электроэнергии и так далее. И только бедные айтишнички не знают, что проработать поведение можно заранее? Нужно купить какое-то решение, которое обяжет тебя проработать события?

 

Quote

И что с этим всем будет, если я захочу уехать после всей этой настройки отдохнуть, а в процессе согласования что-то изменится? А если захочу переехать в теплые страны и больше никогда не работать? Есть ощущение, что ничего хорошего не выйдет.

Звучит так, будто у тебя очень низкий фактор автобуса. И это плохо говорит о менеджменте. Какие решения не покупай, с какими бы сказочными правилами они не были, низкий фактор автобуса будет означать, что решениями нельзя будет пользоваться по назначению. Деньги на ветер.

 

Quote

Просто потому, что ценный человеческий ресурс лучше не тратить там, где рутинную работу заменяет правило корреляции или плейбук.

1. Ценность ресурса, созданная низким фактором автобуса — это ложная ценность
2. Что такое плейбук?
3. Так что такое XDR? Грепалка логов, рисующая графики в браузере?

Честно, я себя тупым чувствую.

[kmscom]

56 минут назад, Umnik сказал:

Я не знаю, что такое XDR. Честно не знаю.

https://encyclopedia.kaspersky.ru/glossary/xdr-extended-detection-and-response/
и это не тоже самое 
https://ru.wikipedia.org/wiki/External_Data_Representation
хотя я не понял, про какую именно статью речь, цитату из которой вы привели

58 минут назад, Umnik сказал:

Цитата из Википедии и она не полная

я цитату не нашел. Поиск производился среди статей на русском языке
 

[Umnik]

https://ru.wikipedia.org/wiki/Отклонение_в_сторону_статус-кво