Перейти к содержанию

Как понять, что вам пора покупать XDR | Блог Касперского


Рекомендуемые сообщения

Есть такое когнитивное искажение «отклонение в сторону статус-кво». Оно про то, что нам всем не нравятся перемены, поскольку «ущерб от потери статус-кво воспринимается как больший, чем потенциальная выгода». А еще есть эффект владения, когда человек больше ценит вещи, которыми уже владеет, а не те, которыми может овладеть. И еще 13 разных искажений, которые заставляют нас предпочитать то, во что уже вложены время и усилия.

К чему это я и при чем тут XDR? А я это к тому, что мы не особо любим новое. И хотя вроде бы при принятии решений об использовании того или иного нового ИБ-продукта мы хорошенько все обдумываем и взвешиваем, причем не в одиночку, в конечном итоге все равно решение принимают люди.

Как правило, если рынок начинает активно обсуждать какую-то новую систему, то реальную ее полезность пользователи признают только через пару-тройку лет. И это в лучшем случае. Есть еще вариант, когда система вообще не проходит это испытание и либо плавно сливается с существующим классом решений, либо вовсе исчезает.

Сейчас новым кандидатом, проходящим тест на полезность, стал XDR. И в данном случае под XDR я буду подразумевать платформу, в состав которой входит как минимум EDR, NTA, TI, SIEM и SOAR/IRP. То есть защита сети и конечных точек, система мониторинга и автоматизации реагирования (плейбуки разной степени вложенности и вот это все).

И, возможно, наша нелюбовь к изменениям — это очень даже неплохо. Как будто бы это поможет нам подготовиться и выжать из XDR максимум пользы. Мы же помним, что в стратегиях MITRE есть одна из заповедей, которая говорит, что надо обязательно «максимизировать пользу от закупленных технологий». Да и вообще, вдруг нам не нужен XDR? Как понять, стоит ли отдать много денег вендору?

Как понять, не пора ли купить XDR?

На мой взгляд, существует достаточно четкий критерий: XDR должен автоматизировать уже существующие процессы и механизмы, а не становиться новым продуктом в SOC. Ну в крайнем случае — автоматизировать процессы и механизмы, о которых сотрудники SOC уже задумались и реализацию которых запланировали. Потому что если автоматизировать бардак — получится просто автоматизированный бардак. А хотелось бы получить процесс управления информационной безопасностью.

Получается, если мы хотим использовать XDR — нам надо сначала выстроить все процессы. От выявления до реагирования. Давайте посмотрим, что тут можно сделать своими руками, без волшебной «XDR-коробки» от вендора. А потом подумаем, в каком случае она все-таки может нам пригодиться.

Если посмотреть на классические определения SOC, то вы увидите, что это либо исключительно команда аналитиков, либо совокупность людей, процессов и только в последнюю очередь — технологий.

Поэтому первым делом нужно выстраивать процессы в общечеловеческом понимании: определить, что в целом происходит в инфраструктуре, кто за что отвечает и кто поможет решить какие проблемы в случае чего. И тут особо не помогут никакая автоматизация и никакие инструменты: придется что-то придумывать самостоятельно. Ну или списать готовое, это тоже хороший вариант — не зря же методологи пишут тонны всевозможных документов про лучшие практики.

 

Посмотреть статью полностью

Ссылка на сообщение
Поделиться на другие сайты

Я не знаю, что такое XDR. Честно не знаю. Решил почитать статью и... Редакторы, делайте вычитывание, пожалуйста.

 

Quote

«ущерб от потери статус-кво воспринимается как больший, чем потенциальная выгода»

Цитата из Википедии и она не полная. Эта цитата создаёт ощущение у читателя, что суть с самом статусе. Но нет, полная цитата из Вики не оставляет двоякости восприятия:

Quote

ущерб от потери статус-кво воспринимается как больший, чем потенциальная выгода при его смене на альтернативный вариант

Только второе предложение и уже лажа. Впрочем, в вики описание тоже такое себе. Я часто решаю сохранять как есть в разных вопросах, потому что выработанные стратегии эффективны, а изменение не бесплатное. Потенциальная выгода может быть, а может не быть. Если же стратегия не эффективная, то без проблем можно менять. Разумеется, частный пример не считается, но просто такого объяснения в вики не было (или я не увидел), что ставит статью под сомнение. И, как итог, эту статью, которая использует цитирование из Вики. А, и кстати, тоже интересное замечание. Приведённая цитата в Вики была взята из источника, которого более не существует. Других ссылок нет. То есть вот эта статья про XDR (я ещё не знаю, что это) начинается с НЕПРАВИЛЬНОЙ цитаты того, что даже уже проверить нельзя. Источник удалён. Единственный источник.

 

 

 

Quote

человек больше ценит вещи, которыми уже владеет, а не те, которыми может овладеть

Снова из википедии цитата. Полез проверять, там так и написано. А я сижу и не понимаю, а как может иначе то быть? У меня ЕСТЬ вещь и я её ЦЕНЮ. У меня НЕТ вещи и как тогда я могу её ценить? Но внизу этот статьи есть всего одно вот такое предложение:

Quote

Они провели более надежный эксперимент с теми же товарами, используемыми Канеманом, Кнетчем и Талером[5] (шоколадные батончики и кружки) и этот эффект не подтвердился.

Кажется, это то, с чего вообще стоило начинать. Есть мнение, что человек выше цени то, чем владеет, чем то, чем не владеет. Своя рубашка ближе к телу, лучше синица в руке и всё такое. Тоже мне, феномен. Так ещё потом оказывается, что тут не всё так просто, а значит этот "феномен" (такой феномен, что все знают, что поговорки про это столетия уже) выбросить можно.

 

1 hour ago, KL FC Bot said:

И еще 13 разных искажений, которые заставляют нас предпочитать то, во что уже вложены время и усилия

Все остальные такие же не пришей кобыле хвост?

 

Quote

Сейчас новым кандидатом, проходящим тест на полезность, стал XDR. И в данном случае под XDR я буду подразумевать платформу, в состав которой входит как минимум EDR, NTA, TI, SIEM и SOAR/IRP. То есть защита сети и конечных точек, система мониторинга и автоматизации реагирования (плейбуки разной степени вложенности и вот это все).

Да что это такое?! Чем это отличается от уже существующих систем, которые под капотом грепают логи и рисует графики для бездельников на экране?

 

Quote

Но очень велик шанс, что нам никто не разрешит просто так взять и заблокировать что-то где-то — это потребует согласования.

Не имеет отношения к делу. Это вопрос организации работы. Тут вообще никакое решение, кроме антивируса не требуется:

  1. Антивирус обнаруживает проблему
  2. Сообщает на сервер администрирования об инциденте
  3. Сервер переводит его в карантинную подсеть. Туда можно добраться для пролечивания и проверок удалённых, но нельзя добраться до других узлов. Просто изолированная подсеть

Не вижу здесь никаких проблем. Проблема может быть, если бы это был компьютер, который нельзя изолировать от сети. Но опять же, это организационный вопрос. Сели, репу почесали, как делать в том или ином случае и создали правила. Весь мир так живёт, тонны оффлайн событий так работают: вот тебе правила на снегопад, вот на наводнение, вот на прорыв канализации, вот на отключение электроэнергии и так далее. И только бедные айтишнички не знают, что проработать поведение можно заранее? Нужно купить какое-то решение, которое обяжет тебя проработать события?

 

Quote

И что с этим всем будет, если я захочу уехать после всей этой настройки отдохнуть, а в процессе согласования что-то изменится? А если захочу переехать в теплые страны и больше никогда не работать? Есть ощущение, что ничего хорошего не выйдет.

Звучит так, будто у тебя очень низкий фактор автобуса. И это плохо говорит о менеджменте. Какие решения не покупай, с какими бы сказочными правилами они не были, низкий фактор автобуса будет означать, что решениями нельзя будет пользоваться по назначению. Деньги на ветер.

 

Quote

Просто потому, что ценный человеческий ресурс лучше не тратить там, где рутинную работу заменяет правило корреляции или плейбук.

  1. Ценность ресурса, созданная низким фактором автобуса — это ложная ценность
  2. Что такое плейбук?
  3. Так что такое XDR? Грепалка логов, рисующая графики в браузере?

image.png.5d0b9ef7c2a989d3eaf6a7fa4acd0df8.png

Честно, я себя тупым чувствую.

Ссылка на сообщение
Поделиться на другие сайты
56 минут назад, Umnik сказал:

Я не знаю, что такое XDR. Честно не знаю.

https://encyclopedia.kaspersky.ru/glossary/xdr-extended-detection-and-response/
и это не тоже самое 
https://ru.wikipedia.org/wiki/External_Data_Representation
хотя я не понял, про какую именно статью речь, цитату из которой вы привели

58 минут назад, Umnik сказал:

Цитата из Википедии и она не полная

я цитату не нашел. Поиск производился среди статей на русском языке
 

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      В OpenSSH, популярном наборе инструментов для дистанционного управления *nix-системами, была найдена уязвимость, при помощи которой неаутентифицированный злоумышленник может выполнить произвольный код и получить root-привилегии. Уязвимость получила номер CVE-2024-6387 и собственное имя regreSSHion. Учитывая, что sshd, сервер OpenSSH, внедрен в большинство популярных ОС, многие устройства интернета вещей и другие девайсы вроде межсетевых экранов, описание уязвимости звучит как начало новой эпидемии уровня WannaCry и Log4Shell. На практике ситуация несколько сложнее, и массовой эксплуатации уязвимости, вероятно, не будет. Несмотря на это, все администраторы серверов с OpenSSH должны срочно позаботиться об устранении уязвимости.
      Где применяется OpenSSH
      Набор утилит OpenSSH встречается почти повсеместно. Это популярная реализация протокола SSH (secure shell), внедренная в подавляющее большинство дистрибутивов Linux, OpenBSD и FreeBSD, macOS, а также в специализированные устройства, например на базе Junos OS. Поскольку многие телевизоры, «умные» дверные глазки и видеоняни, сетевые медиаплееры и даже роботы-пылесосы работают на базе Linux-систем, в них тоже часто применяется OpenSSH. Начиная с Windows 10, OpenSSH есть и в ОС от Microsoft, правда, здесь это опциональный компонент, не устанавливаемый по умолчанию. Не будет преувеличением сказать, что sshd работает на десятках миллионов устройств.
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      Сегодня Telegram уже не просто мессенджер, а социальная сеть. Пользователи могут хранить неограниченное количество файлов, вести каналы, создавать ботов и даже покупать криптовалюту. Разумеется, все это дает мошенникам большое пространство для маневров.
      На этот раз киберпреступники придумали схему кражи Telegram-аккаунтов и криптокошельков с помощью фишингового бота. Детали новой схемы и рекомендации по защите своих криптоактивов — в этом материале.
      Как работает мошенническая схема
      Для начала определим целевую аудиторию мошенников. Если вы думаете, что под угрозой находятся все пользователи Telegram, — расслабьтесь. Киберпреступники сфокусированы на владельцах криптокошельков Telegram Wallet, которые совершают сделки по P2P-торговле (это когда пользователи могут покупать и продавать криптовалюту без посредников).
      Как только потенциальная жертва найдена, мошенники связываются с ней под видом легитимного покупателя или продавца, в зависимости от контекста. Одним из первых же предложений в переписке становится просьба пройти KYC-верификацию (Know Your Customer — «Знай своего клиента»). Это реальное требование Telegram Wallet, направленное на повышение уровня безопасности платформы. Пользователям на самом деле требуется предоставить свои реальное имя, номер телефона и адрес, чтобы совершать сделки. Но есть нюанс: мошенники отправляют ссылку на фейковый канал для прохождения KYC-верификации и угрожают заморозкой криптоактивов в случае, если жертва проигнорирует просьбу. Для большей убедительности криптомошенники упоминают выдуманные «требования регуляторов».
      Как определить, что канал принадлежит мошенникам: малое число просмотров поста, синтаксические ошибки и активный призыв перейти по ссылке
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      Последние недели в Сети активно обсуждают новые правила в политике безопасности Meta*. Компания-владелец Facebook**, Instagram** и WhatsApp** сообщила части своих пользователей, что с 26 июня их личные данные будут использованы для развития генеративного искусственного интеллекта Meta AI**.
      О каких данных идет речь, можно ли отказаться от их добровольной передачи и как обеспечить свою цифровую безопасность — в этом материале.
      Meta* собирается использовать контент из Facebook** и Instagram** для обучения своего ИИ?
      Meta AI** существует более девяти лет: подразделение, занимающееся развитием ИИ, компания открыла еще в 2015 году. Для обучения своих нейросетей Meta* нужны данные — и скоро источником знаний для ИИ может стать пользовательский контент крупнейших в мире соцсетей.
      Все началось в мае 2024 года, когда в Интернете стали массово появляться сообщения об очередном изменении политик безопасности Meta*: якобы компания с конца июня планирует использовать контент из Facebook** и Instagram** для тренировок генеративного ИИ. Но уведомления об этом пришли не всем, а лишь некоторым пользователям из Евросоюза и США.
      На волне поднявшегося негодования Meta* выпустила официальное заявление для жителей Евросоюза по этому поводу, но пока оно оставляет больше вопросов, чем дает ответов. Пресс-релиза, где бы черным по белому было написано: «Начиная с такого-то числа Meta AI** будет использовать ваши данные для обучения», не существует — но недавно появилась страница «Генеративный ИИ в Meta*», где подробно описано, какие данные и как компания собирается использовать для развития искусственного интеллекта. Снова без дат.
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      Не так давно мы писали о том, что злоумышленники научились использовать легитимную инфраструктуру социальной сети для доставки достаточно правдоподобных на вид предупреждений о блокировке бизнес-аккаунта — с последующим угоном паролей. Оказывается, уже несколько месяцев очень похожим образом атакуют аккаунты разработчиков на GitHub, что не может не волновать корпоративную службу информационной безопасности (особенно если разработчики имеют административный доступ к корпоративным репозиториям на GitHub). Рассказываем о том, как устроена эта атака.
      Угон аккаунтов на GitHub
      Жертвам этой атаки приходят письма, отправленные с настоящего почтового адреса GitHub. В письмах говорится, что команда GitHub ищет опытного разработчика, которому компания готова предложить привлекательные условия — зарплату $180 000 в год плюс щедрый соцпакет. В случае заинтересованности в этой вакансии получателю письма предлагается подать заявку по ссылке.
      Атака начинается с письма: GitHub якобы ищет разработчика на зарплату $180 000 в год. Источник
       
      Посмотреть статью полностью
    • KL FC Bot
      От KL FC Bot
      В мае 2024 года Microsoft представила новую функцию для Windows 11 под названием Recall. Она позволяет «вспоминать» все, что делал пользователь на компьютере за последние месяцы. Можно задавать в поисковой строке самые общие вопросы вроде «фото красного авто, которое мне присылали» или «какой корейский ресторан советовали» — и получать ответы в виде ссылок на приложение, сайт, документ в паре с картинкой-миниатюрой, на которой запечатлен… экран компьютера в момент, когда пользователь смотрел на предмет запроса!
      Recall позволяет вспомнить все, что вы делали за компьютером в последние месяцы. Возможно, даже то, что вы предпочли бы не вспоминать. Источник
      Чтобы реализовать чудо-поиск, новый сервис Microsoft будет делать скриншоты всего экрана каждые несколько секунд и сохранять их в папке на компьютере. Затем все эти изображения анализируются искусственным интеллектом в фоновом режиме, из скриншотов извлекается вся информация и помещается в базу данных, по которой при помощи ИИ-ассистента ведется умный поиск.
      Несмотря на то что все операции проводятся локально, на компьютере пользователя, Recall сразу после анонса вызвал тревогу у многих специалистов по информационной безопасности — эта функция создает слишком много рисков. Начальная реализация Recall была практически не зашифрована и доступна любому пользователю компьютера. Под давлением ИБ-сообщества Microsoft объявила о внесении доработок в Recall еще до выпуска публичной версии, который отложили с 18 июня ориентировочно до конца осени 2024 года. Тем не менее даже с обещанными улучшениями функция остается неоднозначной.
       
      Посмотреть статью полностью
×
×
  • Создать...