XDR如何推动安全运营中心现代化？

安全团队依然面临快速检测和响应安全威胁等基础性的挑战。XDR被视为帮助在攻击链中检测、识别和了解复杂威胁的潜在手段。

近期，全球知名信息技术分析和咨询机构ESG的报告显示：企业和组织正在努力提升终端检测与响应平台（Endpoint Detection and Response, EDR）、网络检测与响应平台（Network Detection and Response, NDR）以及其他安全分析方案的能力，以支持更加全面的威胁检测和响应。扩展检测与响应平台（eXtended Detection and Response, XDR）恰逢其时。但部署XDR从何入手？需要同时配置哪些安全能力？

01 威胁检测和响应的重点

ESG报告显示，提升高级威胁检测能力成为威胁检测和响应的首要任务。

34%的受访者认为威胁检测和响应需要重点提升高级威胁检测能力，33%的受访者认为应当重点提升自动化修复能力，29%的受访者认为应当降低威胁的平均响应时间。

概括来说，安全运营中心（SOC）团队需要提升威胁检测和响应的效率，尤其是在面对随着时间推移能够在网络中横向移动的未知威胁时。

图1：威胁检测和响应的重点领域

02 威胁检测和响应的挑战

2.1安全运营工具购买、维护和运营成本高昂，且无法有效识别未知威胁

SIEM已经成为流行且有效的安全运营技术，但SIEM面临诸多问题和挑战。34%的受访者认为SIEM软件价格很昂贵，32%的受访者认为维护和运营SIEM基础设施成本高昂，需要大量的资源和时间来运营。30%的受访者认为，虽然有经验的专家分析师可以从SIEM中获益，但初级分析师仍在SIEM学习曲线中苦苦挣扎。需要特别注意的是，30%的受访者认为，虽然SIEM可以有效地检测已知威胁，但是无法有效识别未知威胁。

图2：SIEM面临的最大挑战

总的来说，图2代表了当下企业和组织安全运营的状态。各种安全运营工具复杂难用、成本高昂，检测复杂未知威胁（能够在跨网络和云工作负载中横向移动的高级威胁）效率低下。CISO正在努力寻求提高安全效率的解决方案，同时降低安全运营的成本和复杂性。

2.2安全运营最大技术挑战是数据摄入

安全分析和运营严重依赖于收集、处理、分析和响应不断增长的安全数据。日志数据类型不仅包括防火墙日志、EDR数据、网络流量、威胁情报、电子邮件、web代理日志，而且还包括许多其他遥测数据源。企业和组织在安全数据管理方面面临诸多问题和挑战：安全告警误报过滤（38%），数据管道弹性（37%），收集、处理、上下文威胁情报（36%），以及构建有效的流处理或批处理数据管道（34%）。

图3：安全数据和告警管理挑战

03 XDR成提升安全效能的潜在途径

企业和组织将XDR视为帮助他们理解、识别和检测复杂的跨杀伤链攻击的潜在途径。大多数企业和组织期望新的解决方案可以简化复杂攻击链的可视化，并提供能够关联多种来源信号的高级分析能力，三分之一（31%）的企业和组织需要自动化响应能力。如果XDR解决方案能够阻止攻击并跨终端、网络、服务器以及云的工作负载更新规则集，将特别实用有效。

图4：最吸引用户的XDR功能

尽管XDR技术可能有助于企业和组织克服现有安全控制和管理工具在进行威胁检测和响应时的问题，但是企业和组织对XDR的概念和定义认知差异很大。多数受访者（36%）认为XDR是一个整合的安全数据管道，用于收集、处理和分析多个控件和数据源。其他受访者认为XDR是现有的安全控制和运营技术的补充和增强，或者是集成安全数据管理、分析和自动化响应的技术栈，或者是终端检测与响应（EDR）技术的演化。

图5：对XDR概念和定义的不同认知

实际上，XDR不仅包括上述所有概念和定义而且不止如此，但用户会对XDR的概念和定义产生困惑。因此，XDR供应商需要采取适当的资源教育整个市场，并与安全团队合作，阐明XDR是什么以及它能提供什么价值。

3.1 XDR需要处理数据摄入问题

鉴于数据摄入是安全运营最大技术挑战，XDR需要重视安全数据管理能力建设。安全数据管理存在大量的工程工作，需要综合考虑各个方面，进而确定相应的优先级。为了克服安全数据管理挑战和潜在的数据瓶颈，各个企业和组织正在构建或改进其安全数据管道（40%），处理、分析跨多个安全控件的信号以检测复杂的攻击（39%），并收集、集中化更多的安全数据（32%）。

图6：安全数据管道构建或改进的优先级

为了适应安全数据的大规模、高速性和多样性等特点，XDR技术需要由一个现代化的数据管道支撑，这个管道可以跨业务系统大规模地收集和处理安全数据。如果不具备这种能力，XDR解决方案需要构建在开源、商业日志管理系统或基于云的数据库和存储产品之上。

3.2 XDR需要扩展SIEM能力

尽管SIEM面临诸多问题和挑战，SIEM是当今威胁检测和响应工具中三个最有价值的之一。SIEM最有价值的特性包括能够检测特殊类型安全事件（例如，勒索软件、钓鱼、漏洞利用、数据泄露）的高级检测能力，能够适用威胁检测和响应不同场景（例如，恶意软件检测、威胁狩猎、调查、培训分析师）的安全运营能力，以及综合UEBA、SOAR、威胁情报分析等安全功能的集成能力。尽管EDR、NDR和威胁情报平台对于安全运营也很有效，但SIEM主要特色在于：作为主要的安全机制有效整合、存储、关联和报告安全数据。

图7：SIEM最有价值的特性

XDR需要扩展SIEM中这些有价值的能力。超过一半的受访者认为XDR可以在增强现有安全分析能力、与SOAR集成以实现安全运营流程自动化、与DevOps集成将安全植入CI/CD流水线方面发挥作用。这样的话，XDR不仅可以改进威胁检测和响应，还可以帮助实现安全运营流程的现代化、集成化和自动化。XDR也就成了SOC现代化的催化剂。

图8：XDR推动SOC现代化的方式

3.3 XDR需要配套MDR服务

托管检测和响应服务（Managed Detection and Response Services , MDR）正在成为大多数现代安全体系的主要部分。大多数企业和组织正在使用MDR提供商的服务，或者正在参与采用MDR提供商的项目。至于这背后的驱动因素，ESG报告显示：超过一半的企业和组织认为MDR提供商在威胁检测和响应方面比他们单独做要更好，43%的企业和组织认为将MDR服务添加到现有的MSSP合同中是一个很好的业务和技术决策，42%的企业和组织通过终端提供商购买MDR服务，38%的企业和组织将MDR视为技能提升的手段，35%的企业和组织需要MDR服务来提升安全团队专业水平。