XDR(eXtended Detection and Response,扩展的安全检测及响应) - 郑瀚Andrew
2024-3-4 10:31:0 Author: www.cnblogs.com(查看原文) 阅读量:15 收藏

首先从EDR(Endpoint Detection&Response)说起,即端点安全检测及响应;还有NDR(Network Detection & Response),即网络安全检测及响应(类似NTA,不再赘述);以及MDR(Managed Detection and Response),即管理安全检测及响应,也就是安全运维服务。

于是,什么是XDR?就是将这些各种各样的DR综合起来,叫作XDR(eXtended Detection and Response,扩展的安全检测及响应),如下图所示。

如果将XDR体系分层,大致可以分为三层,即

  • 遥测探针层(包括EDR、NDR、系统日志DR、蜜罐DR等)
  • 计算平台层(安全能力中台)
  • 运维服务层

由这三层组成的XDR安全运营体系,可以有效提升企业的网络入侵风险防控能力。

企业防入侵能力=MDR攻击面分析+XDR威胁检测能力+MDR实时遥测分析

企业在选购XDR解决方案时,乙方安全厂商往往会讲得天花乱坠。我们只要记住上面这个公式,然后围绕这个公式来评估安全厂商提供的核心能力,即两项MDR服务能力和一项XDR产品能力。

0x1:MDR攻击面分析

我们在做企业安全解决方案时,总是试图将威胁挡在事件发生之前,即梳理资产和盘点可能存在的风险点,也就是全面的攻击面分析。因此,在花大价钱购买XDR解决方案时,一定不要漏掉“MDR攻击面分析”定期服务,最好能够包括以下几个方面:

  • 1)基于终端安全产品(EDR等)的资产发现及漏洞扫描、基线扫描服务。不仅要把风险告警出来,还需要分析这些风险的危害等级(是否可以远程入侵、信息越权访问等)和暴露面(公网暴露、内网暴露、只是存在组件漏洞但未开启服务等)。对于危害较高且暴露在公网或内网的风险,应推动甲方及时修复。
  • 2)基于流量安全产品(NDR等)的资产发现及流量全景统计分析。识别并排除网络中的恶意流量,并建立流量基线。
  • 3)漏洞扫描服务。通过漏扫发现的风险,已经证明其真实存在,需要第一时间修复。
  • 4)基于终端安全产品(EDR等)和流量安全产品(NDR等)的网络端口收敛服务。通过EDR和NDR遥测到的全网终端网络端口活跃情况,对高危端口的使用情况进行分析、收敛、封禁、动态管理等。
  • 5)暴露信息收集服务。对应技战术中的“侦查发现”步骤,模拟攻击者从互联网收集暴露在外的信息,这些信息可能成为攻击者的突破口,因此,可以针对暴露在互联网的设备、服务、API、人进行重点布防。

0x2:XDR威胁检测能力

威胁检测能力是XDR产品比拼的焦点能力,也是MITRE ATT&CK的评测重点。检测能力包括两项核心能力:

  • 可见
  • 告警

攻击步骤可见是XDR安全运营体系的底座,如果可见能力不行,那么无论投入多少人力,都不能有效解决安全问题。威胁告警是XDR运营体系的保障,如果告警能力不行,则会产生大量的遥测行为日志需要人工分析,从经验来看,产生的任务量必定会对分析人员形成“DDoS攻击”。

因此,XDR产品需要具备全面的遥测能力、可解释的检测能力、准确的调查能力、可靠的响应能力。

  • 1)全面的遥测能力。从安全设备来看,XDR产品体系应包括办公终端安全产品、主机安全产品、网络流量安全产品、蜜罐等。尤其是办公终端安全产品,需要具备完善的行为遥测能力,按个人经验评估,覆盖ATT&CK中70%的技术实例,攻击者将很难悄无声息地潜入和逃脱。就好比一个房子,从院子到门口、再到客厅、厨房、书房、卧室,都部署了满满的红外线探头,当对空间的覆盖达到70%时,该防线就很难被突破了。那么,为什么不是100%?考虑到开发的实现难度,有一些技术点是无法实现的,或者会较大地影响系统性能。
  • 2)可解释的检测能力。极端情况下,某安全产品把所有遥测行为都告警出来,那是令人崩溃的,告警太多和没有告警没什么区别,因为这些告警没人能够处理完,也没有人敢直接拦截。所以,产品告警一定需要有可解释性,比如,“某家族的勒索病毒正在操作某文件”,而不是“某进程正在操作某文件”。前者是可以指导处置的,如果足够自信,甚至可以调用自动响应流程进行自动拦截和修复操作。
  • 3)准确的调查能力。目前,调查能力的实现方式主要有两种:一种是基于时间线的关联行为调查模型;另一种是基于进程行为链和关系链的调查模型。前者称为“时序调查”,理论基础是攻击行为一般发生在相近的时间,结合行为的可解释性,可以取得不错的调查效果,但毕竟带有“猜测”成分,会掺杂一些“意外”行为,所以用于辅助人工调查比较实用,但指导自动响应是万万不能的。后者称为“因果调查”,即通过行为关系把行为路径刻画得清清楚楚,这种调查方式准确度高,但要求遥测行为数据足够丰富和完善,因此要实现全流程的自动化事件响应和处置,必须基于“因果调查”。
  • 4)可靠的响应能力。XDR自动响应和处置威胁事件,一方面要尽可能全面地清除恶意程序,另一方面要保障系统不会因为处置动作而发生异常。即便“因果调查”的结果完全准确,但如果有一个恶意操作是将恶意代码注入服务进程或写入系统文件,XDR的处置操作是结束该服务进程或者删除该系统文件,则可能导致业务终端或发生系统异常。XDR产品应该具备判断此类场景的能力。
  • 0x3:MDR实时遥测分析

实时遥测分析是另一项重要的MDR服务,是XDR安全运营体系的保底策略。它有两个前提条件:

  • 一是XDR产品应具备全面的遥测能力,即尽可能在攻击的某些阶段对一个或多个攻击步骤“行为可见”
  • 二是XDR产品的检测能力足够优秀且具备可解释性,即能够对大部分攻击行为进行识别,比如能够识别攻击源头、能够判断是否攻击成功、能够通过自动响应能力准确封禁大部分网络探测等

在满足这两个条件的情况下,一方面基本不会漏过可疑的攻击行为,另一方面待分析的“未知”遥测行为得到了初步收敛。

那么,为了进一步减轻实时遥测分析的工作压力,可以基于遥测数据建立行为基线,结合大数据分析技术,进一步收敛待分析的“异常”行为,比如可以使用组合计分模型,把一组遥测行为通过“时序调查”或“因果调查”组合成一个事件,然后对这个“未知事件”的每一个遥测行为进行投票计分,当得分大于阈值时,则认为是异常的,才需要进行人工排查分析。

综上所述,XDR安全运营体系期望通过“MDR攻击面分析”提前挡住大部分的网络攻击,通过“XDR威胁检测能力”精准阻击强行突破进来的“坏人”,通过“MDR实时遥测分析”人工排查触碰了红外探头的“伪装者”。


文章来源: https://www.cnblogs.com/LittleHann/p/18050905
如有侵权请联系:admin#unsafe.sh