¿Por qué XDR para la seguridad de puntos finales?
Construir el contexto de un incidente de seguridad identificando las causas de origen y determinando cómo responder requiere un alto grado de conocimientos especializados, habilidades y experiencia, y las personas con estas capacidades son difíciles de encontrar. Incluso con el talento adecuado, los analistas de amenazas de las empresas están cada vez más abrumados con la investigación manual y el escalado de incidentes de seguridad basados en información correlacionada de una amplia variedad de productos de seguridad, como los sistemas de gestión de eventos e información de seguridad (SIEM ), las plataformas de protección de puntos finales (EPP) y otros sistemas de detección de intrusiones (IDS) y prevención (IPS) de red y host.
La XDR se desarrolló para la detección y respuesta a amenazas más avanzadas: soluciones capaces de generar automáticamente asociaciones contextuales entre eventos y reconocer comportamientos anómalos para reducir la carga de los analistas humanos. La detección avanzada no consiste en recibir más alertas, sino mejores alertas y respuestas automatizadas.
Cómo funciona la XDR
XDR logra su objetivo de detección de mayor calidad, análisis automatizado y ajuste en tiempo real de la concienciación sobre la seguridad de la red y los puntos finales de varias maneras.
XDR no se limita a correlacionar datos de registro de eventos de seguridad, sino que une datos relacionados, generando flujos lógicos detallados y aplicando análisis basados en aprendizaje automático para detectar comportamientos anómalos.
Este análisis produce una "historia única", permitiendo el análisis cruzado de datos para aumentar la visibilidad y descubrir el contexto de la amenaza, como las Tácticas, Técnicas y Procedimientos (TTP) relacionados con un evento de seguridad.
En segundo lugar, XDR realiza un análisis dinámico de los procesos en ejecución (incluida la generación de procesos hijos) para:
- Detección de procesos maliciosos
- Verificar la sanidad de los archivos críticos del sistema y los archivos de configuración.
- Seguimiento de los procesos que acceden, modifican o ejecutan archivos críticos del sistema
- Inspeccionar el contenido de la memoria para detectar malware sin archivos
La XDR trata de identificar las amenazas internas que pueden haber eludido ya los análisis externos y haber obtenido un acceso inicial. XDR puede detectar amenazas desconocidas y amenazas que las firmas de malware no pueden identificar.
Las herramientas XDR comparten información sobre amenazas con un servidor gestionado de forma centralizada que puede actualizar los perfiles de seguridad de todos los puntos finales, aumentando la concienciación en toda la red. La XDR también puede actuar accediendo remotamente a los servicios de los terminales para buscar y prevenir amenazas similares.
Funciones básicas de XDR
- Identificación de malware basada en firmas
- Funciones del cortafuegos del host
- Cifrado total o parcial del disco o segmentación de datos
- Restringe y supervisa el uso de dispositivos USB
- Permitir o denegar el acceso a determinadas aplicaciones y URL
Funciones XDR avanzadas
- Reúna los datos relacionados de la red, la nube y los terminales
- Generar flujos lógicos detallados del proceso y del comportamiento del usuario
- Realizar análisis dinámicos de los procesos en ejecución
- Identificar el uso indebido de credenciales
- Supervisar las conexiones de red de los terminales para detectar comportamientos anómalos
- Aplicar análisis basados en aprendizaje automático para detectar comportamientos anómalos
- Analizar el contexto de los procesos a medida que se generan
- Verificar la sanidad de los archivos críticos del sistema y los archivos de configuración.
- Seguimiento de los procesos que acceden, modifican o ejecutan archivos críticos del sistema
- Inspeccionar el contenido de la memoria para detectar malware sin archivos
- Compartir información sobre amenazas con un sistema de gestión central
- Crear perfiles de amenazas en tiempo real a partir de información compartida sobre amenazas
- Transmisión de los cambios de configuración de los perfiles de seguridad a los extremos de la red
- Ponga en cuarentena, sustituya o elimine de forma remota archivos de puntos finales de toda la red.
- Acceda remotamente a cualquier servicio de endpoint como shell, PowerShell y scripting
Recursos relacionados:
Prevención de pérdida de datos (DLP)
Seguridad de puntos finales
Plataformas de protección de puntos finales (EPP)
Detección y respuesta a puntos finales (EDR)
Detección y respuesta ampliadas (XDR)
Gestión de identidades y accesos (IAM)
Detección y respuesta gestionadas
XDR gestionado
Marco ATT&CK de MITRE
Defensa frente a amenazas móviles (MTD)
Análisis del comportamiento de usuarios y entidades (UEBA)
Arquitectura de confianza cero
Acceso a la red de confianza cero (ZTNA)
Seguridad de confianza cero
Gestión de eventos e información de seguridad (SIEM)
Servicio de Acceso Seguro Edge (SASE)