XDR 采购指南

 

了解扩展检测和响应 (XDR)

为什么当今世界需要一种截然不同的安全方法？

在当今多供应商、多媒介的混合环境中，复杂性已成为企业面临的最大挑战。安全团队必须保护不断扩展的生态系统，利用数十种集成度不一的工具开展运维工作。随着物联网和混合办公模式的兴起，企业的受攻击面不断扩大。网络钓鱼、恶意软件和勒索软件攻击正以每年两倍甚至三倍的速度增长。与此同时，各企业之间形成了前所未有的高度互联。一家公司的安全漏洞可能会影响其供应商、合作伙伴、客户，甚至相关的各个行业。

在这种新常态下，构筑安全弹性势在必行。安全弹性是指保护企业各方面完整性的能力，让企业能够抵御不可预测的威胁或变化，不断增强安全水平。过去的方法已无法满足安全弹性的需求。

如何应对威胁？

随着安全威胁形势日益复杂，基于独立单点安全解决方案构建的传统检测和响应模式已经无法充分满足需求。因此，扩展检测和响应 (XDR) 应运而生。XDR 是一种统一的安全事件检测和响应工具。XDR 解决方案会自动收集多种安全工具的遥测数据并进行关联分析，应用分析功能来检测恶意活动，然后对威胁做出响应并采取补救措施。作为一种有效的全方位解决方案，XDR 可对电子邮件、终端、服务器、云工作负载和网络等所有媒介中的数据进行关联分析，提供对整个环境的可视性，实现情景感知，让最高级的威胁也无所遁形。

为什么选择 XDR？

首先，借助 XDR 的事件关联和多供应商检测功能，团队可检测出网络、云、终端、电子邮件等媒介中极其复杂的威胁。

其次，利用 XDR，团队能够根据威胁的影响确定其优先级，进而减少警报疲劳。

第三，XDR 可自动执行任务，提高团队工作效率，让团队更有效地利用 SOC 资源。

第四，依托 XDR，组织能够弥合安全漏洞并通过切实可行的情报预测未来趋势，构筑安全弹性。

正确实施 XDR 的五大要素

1.提供按优先级排序且切实可行的遥测数据，随时随地为您所用

您能否高效筛选海量警报，对威胁进行分类？

广泛的可视性和深度洞察是 XDR 的基础。许多复杂的威胁活动不仅仅攻击终端或网络，还会攻击其他多种媒介，比如电子邮件、身份管理、沙盒和防火墙。因此，您需要一种能提供广泛遥测技术和高质量数据的 XDR 解决方案。这些数据不仅可为 XDR 的有效运行提供信息支持，而且还将帮助您全面了解整个环境中的状况。除了收集洞察以外，事件管理也同样重要。要让 XDR 实现预期成效，对这些洞察进行优先级排序是一项必不可少的措施。XDR 解决方案可提供基于风险的优先级排序（即按风险的重大程度确定事件的优先级），助您把握重点，快速行动。此类解决方案还可提供后续措施建议，助您做出明智决策，采取最佳行动。

针对供应商的问题

●      您的解决方案如何为我提供涵盖所有环境（终端、设备、网络）的可视性？

●      您的解决方案如何提供洞察？您的解决方案是否提供按优先级排序的遥测数据？

●      您的解决方案如何根据业务影响和风险确定威胁的优先级？

●      哪些类型的威胁情报可为您的检测提供依据？这些情报从何而来？

●      您如何验证解决方案所使用的数据源？

●      该产品如何处理 Wannacry、NotPetya 和 Turla 等复杂威胁？

2.支持统一检测，不受媒介和供应商的影响

您的 XDR 解决方案能否确保您购买的安全产品作为统一整体协同运行？

随着威胁形势日益复杂，攻击媒介的类型也越来越多样化，确保在整个环境中实现一致的检测变得前所未有的重要。
如今，安全团队在其安全环境以及由全球供应链、攻击者和防御者组成的生态系统中，都面临着前所未有的复杂局面。XDR 解决方案可以根据威胁的严重程度及其影响汇聚各种检测措施、进行关联分析并确定优先级，助您从容应对复杂局势。要做到这一点，您的安全体系需要协同运行。选择开放、可扩展且云优先的 XDR 解决方案，即可在整个环境中实现统一检测和事件关联，而不会额外增加复杂性。安全体系中的每个组件都具备独特的检测元素，如网络、电子邮件、防火墙等；当这些元素组合在一起时，威力倍增。需要注意的是，为便于您全面了解潜在威胁，XDR 应涵盖所有六个遥测源，即终端、网络、防火墙、电子邮件、身份和 DNS。您的 XDR 解决方案应能通过本机后端到前端集成轻松与整个安全体系集成，因此即使供应商更改产品组合或更换供应商，覆盖范围也能保持一致。最后，要优化安全体系的威胁检测功能，不妨试试 XDR 解决方案，不仅可以提供宝贵的本地情景信息，还能提供值得信赖的准确威胁情报判定。

针对供应商的问题

●      我的现有投资可以在多大程度上通过您的 XDR 平台发挥价值？

●      无论我使用哪一家供应商的解决方案，是否都能与您的 XDR 平台兼容？

●      您的解决方案彼此之间是否已进行集成，支持开箱即用？

●      与市面上其他检测技术相比，您的检测技术有何优势？

●      您的解决方案可以检测出哪些威胁？是否可将警报映射到 MITRE ATT&CK 框架？

3.快速、准确应对威胁

识别威胁后，您能以多快的速度有效应对威胁？

统一来自网络、终端和电子邮件等媒介的洞察，可以更准确地了解发生的威胁、威胁的发展动态 ，进而确定需要采取的补救措施以消除威胁。理想情况下，您应该能够一站式查看威胁的影响和范围，只需点击一两下即可采取行动。有效的 XDR 需要具备原生响应和补救能力，例如隔离主机或删除所有收件箱中的恶意电子邮件。XDR 还应该能够简化创建自定义响应的操作，提供自动化机会，以便团队能够不断改进其安全措施。

针对供应商的问题

●      您的产品可提供哪些响应措施？

●      是否可以一站式使用 XDR 解决方案在终端上执行补救措施，然后将其扩展到其他位置？

●      您的产品如何与支持响应的现有安全工具集成？

●      您的解决方案如何加速实施补救措施？

●      从威胁警报到补救，响应时间有多长（例如，就网络钓鱼攻击而言）？

4.提供统一调查视角，简化用户体验

威胁检测、响应和补救是否可通过统一界面进行管理？

评估 XDR 解决方案时，必须考虑安全分析师的经验。SecOps 团队已然有大量任务需要管理，没有必要使用数十种工具和众多控制台来降低工作效率。因此，我们推荐使用 XDR 解决方案，该解决方案旨在针对多种安全工具和数据源提供统一的安全数据视图，帮助分析师更快速、更有效地检测和应对威胁。这有助于简化工作流程，减少调查安全事件和采取补救措施所需的时间和精力。XDR 解决方案可提供完整生命周期控制面板，涵盖各种威胁媒介和无线接入点。该解决方案可通过 MITRE ATT&CK 等模型方便进行威胁追踪，即使刚开始接触此过程的用户也能基于假设追踪威胁，轻松预测未来动向。另一个需要考虑的因素是设计对分析师体验的影响。XDR 解决方案可通过渐进式披露功能为警报提供更完善的情景信息，快速确定潜在威胁的范围和严重程度，从而提高工作效率，缩短与检测、调查和响应等关键功能相关的决策时间，助力初级和中级分析师执行安全运维中的高级任务。 

针对供应商的问题

●      您的解决方案如何帮助我的团队追踪威胁？

●      该解决方案如何与现有安全技术（例如 SOAR 和 SIEM 解决方案）集成？

●      我能否使用您的 XDR 来了解威胁的影响和漏洞的范围，通过统一界面执行一键式操作？

●      您的解决方案是否支持基于角色的安全性，通过限制系统/子系统的全部或部分访问权限，仅允许授权用户组和个人用户进行访问？

●      借助您的解决方案，我能否集中管理和分析全部现有安全技术的遥测数据？

●      您的解决方案可否简化事件响应工作流程，缩短整体调查时间？

5.提供机会，提高工作效率，加强安全态势

您的 XDR 解决方案能否以更少的开销提高威胁检测和响应效率？

要为公司打造安全弹性，其中一个重要因素就是自动化和协调。安全人员承担重要任务。面对安全威胁时，无需耗费时间执行复杂的手动操作和重复的工作流程。XDR 解决方案可自动执行关键工作流程（例如发现警报、对警报进行关联分析、确定警报的优先级，然后快速采取响应措施），提高团队的工作效率，在整个生命周期中让团队可以腾出精力专注于更重要的工作。有效的 XDR 解决方案可提供清晰的决策和措施，推进调查进程，确保分析师能够根据其策略和程序以一致的自动化方式做出响应，从而缩短响应时间。这意味着 SecOps 团队可以将时间和精力投入到更具战略性和前瞻性的安全任务上，从而进一步加强公司的安全态势。

针对供应商的问题

●      如果您使用的第三方集成的 API 发生了变化，是否会导致您的自动化脚本无法正常运行？

●      您的解决方案如何监控云工作负载的流量进出情况？

●      使用 XDR 解决方案时，我是否需要改变环境或部署新技术？

●      您的 XDR 解决方案是否提供与第三方安全技术的集成（预构建集成或开箱即用的集成）？

●      XDR 解决方案是否可帮助分析师更快地调查和解决事件？

●      您的 XDR 解决方案是否支持策略管理，助力构筑弹性？

Cisco XDR

XDR 是安全弹性的重要组成部分

当今之世，不确定性乃是必然。为应对不确定性，公司大力投资从财务到供应链的各个领域，以期提升业务弹性。如果不对安全弹性（即保护企业免受威胁和干扰，从容应对变化，进而不断增强安全水平的能力）进行投资，所有努力都将功亏一篑。

要为企业打造安全弹性，XDR 不可或缺。正确实施 XDR 可让安全团队按影响确定威胁的优先级，更快检测到威胁并加快响应速度，从而增强安全态势。自动化和协调功能简化了这一过程，让安全团队能够腾出精力专注于最重要的工作。

利用 Cisco XDR 简化安全运维

思科拥有市面上高度全面的安全产品组合，在 XDR 领域处于领先地位。思科积极投资，力求开发高度全面的安全产品组合，预测未来的安全需求，并集成各种组件，确保所有团队都可以轻松、方便地采取有效的安全措施，而不受供应商或媒介的限制。我们深知，构建 XDR 方法需要一个过程。如今，行业中充斥着各种单点解决方案，我们希望您的团队能够摆脱保护措施孤立分散的恶性循环。Cisco XDR 的目标是探索从检测到响应的最短路径，同时尽可能保证整个流程的无缝运行。

Cisco XDR 由 SOC 专家精心设计，旨在简化安全运维，帮助安全分析师积极主动地灵活应对复杂威胁。我们的解决方案具有开放性、可扩展性和云优先等特点，因此您可以利用现有安全投资，在整个环境中实现统一的安全检测。

对客户而言，我们也是其客户，因此我们将恪尽职责，竭力保护客户资产。Cisco Security Cloud 是一个开放安全平台，可帮助您保护整个生态系统。无论未来发生什么，我们都希望能与您携手合作，共同打造安全弹性之旅。与我们携手共建全面安全的强大优势。

是否已做好准备，构建面向未来的安全运维？

探索 Cisco XDR

关键 XDR 要素和功能

在与 XDR 供应商交流过程中，请使用此表（第 9-10 页）作为快速参考。