EDR, XDR czy SIEM: co naprawdę kupuje zarząd, gdy inwestuje w wykrywanie zagrożeń

Przeglądasz ofertę od firmy i znowu widzisz zestaw tych samych skrótów – handlowcy przekonują Cię, że musisz mieć je wszystkie, najlepiej od zaraz i za potężne pieniądze. Pokażemy Ci, jak nie dać naciąć się na tani marketing, którego rozwiązania (a może: zestawu!) potrzebujesz, czym różnią się EDR, XDR i SIEM i czy do ich obsługi wystarczy twój wewnętrzny team.

Trzy skróty, jedna faktura: dlaczego branża cybersec nie wyjaśnia rzeczy wprost?

Różnice między EDR, XDR i SIEM zacierają się na fakturze, bo branża cybersec lubi komplikować prosty przekaz, żeby łatwiej pompować budżety. Nie dotyczy to, rzecz jasna, profesjonalnych i uczciwych podmiotów: i nie zawsze wynika z samej chęci zysku. Niektóre firmy po prostu nie potrafią przełożyć niezbędnych kroków na zrozumiały dla zarządów język, inni zaś sztucznie napędzają cykl życia produktów, sprzedając rozwiązania na zapas, podczas gdy w konkretnej sytuacji 90% zapotrzebowania na ochronę zapewniłoby zaledwie jedno z nich.

Niektóre firmy sprzedają też te narzędzia, ukrywając największą tajemnicę tych technologii: fakt, że same z siebie nie naprawiają absolutnie niczego. Sprzedaje się je zarządom jako autonomiczne tarcze – a to błąd. Chociaż działają, jak czujnik, gdy robi się gorąco, nie przykładają się jednak w żaden sposób do rozwiązywania wykrytych problemów. Branża milczy – bo gdyby handlowiec przyznał, że do zakupu licencji dołożyć musisz sztab specjalistów lub opiekę w ramach outsourcingu, pierwotny budżet po prostu przestałby się spinać. Zdecydowanie łatwiej udawać, że program zrobi wszystko sam.

Jak nie dać naciąć się na zmieniające się literki w skrótach? Przede wszystkim: uważnie słuchaj. Jeśli na spotkaniu handlowym dostawca zasypuje Cię skrótami i nie potrafi w prostych zdaniach wyjaśnić różnicy (i zapotrzebowania na każdą z tych technologii), prawdopodobnie sprzedaje wyłącznie licencje. Profesjonalny partner nigdy nie rozmawia o literkach: mówi zaś o tym, ile minut zajmie wykrycie włamania i kto dokładnie usunie hakerów z Twojej sieci.

Wiesz już, na co uważać: czas przejść do najważniejszego mięsa. Czym właściwie różnią się EDR, XDR, SIEM? Czy potrzebujesz każdego z nich – i czy potrzebna Ci dodatkowa obsługa, czy może przy obecnym dziale IT poradzisz sobie sam?

EDR, XDR, SIEM – różnice zrozumiałe dla zarządu, czyli narracja bez technicznych słów

EDR, XDR, SIEM – jakie występują między nimi różnice? Spoiler: różnią się absolutnie wszystkim. Poniżej tłumaczymy w prosty sposób, na czym polega ich działanie, czy z ich obsługą poradzi sobie typowy dział IT i kiedy działają wystarczająco dobrze solo, a kiedy najlepiej zakupić je w pakiecie.

EDR – prywatny detektyw przypisany do jednostki

EDR to system, który porównać można do detektywa przypisanego do konkretnego pokoju w biurowcu. Jeśli handlowiec przebywający w tym pokoju otworzy podejrzany plik (a laptop zacznie nagle masowo zmieniać nazwy tysięcy dokumentów), EDR natychmiast reaguje, izolując podejrzany komputer od reszty sieci. EDR przeważa nad tradycyjnymi antywirusami, które blokowały jedynie doskonale znajome działania z bazy: nie czeka, aż proces znajdzie się na liście, gdyż blokuje podejrzane działania tu i teraz.

Czy z obsługą EDR poradzi sobie typowy, 30-osobowy dział IT? Tak: ale wyłącznie w godzinach pracy. O ile rąk do pracy jest absolutnie wystarczająco, dzień pracy hakera nie oscyluje od 8 do 16. Ataki ransomware ruszają najczęściej w weekend albo tuż przed nim: nawet przy potężnym dziale IT nikt z pracowników nie gapi się w ekran w sobotnią noc. Właśnie w tym kontekście niezbędne może okazać się wsparcie usługi typu MDR lub po prostu zewnętrznego, całodobowego nadzoru inżynierskiego (jaki oferujemy właśnie my!).

Kiedy wystarczy sam EDR? To świetny punkt wyjścia, gdy dział IT dopiero zaczyna wkraczać w zaawansowane cyberbezpieczeństwo, a biznes opiera się głównie na pracy rozproszonej. Jeśli jednak ataki kierowane są głównie w infrastrukturę sieciową lub chmurową, EDR powinien stać się częścią większego systemu (XDR lub SIEM).

XDR – łączenie kropek

Hakerzy rzadko kiedy kończą swoją akcję na włamaniu się do pojedynczego konta czy laptopa. Zazwyczaj szukają w ten sposób dojścia dalej – i właśnie w tym aspekcie przydaje się XDR. EDR widzi tylko to, co dzieje się w pojedynczym miejscu; XDR stawia dalszy krok, kojarząc wszystkie informacje w jeden, skoordynowany atak. Gdy EDR widzi tylko, że na laptopie handlowca uruchomił się dziwny proces, XDR natychmiast łączy to z faktem, że pięć minut wcześniej ten sam użytkownik zalogował się z nietypowego IP, a z jego skrzynki mailowej wyszło masowe zapytanie do chmury. XDR nie patrzy na pojedyncze puzzle – od razu układa z nich cały obraz włamiania.

Niezwykle ważne: XDR zawiera w sobie już technologię EDR!

Czy typowy, 20–30 osobowy dział IT znajdzie czas na obsługę XDR przy jednoczesnej obsłudze codziennych, rutynowych zadań? Z trudem – i kosztem innych kluczowych projektów. Aby wyciągnąć z powiadomień generowanych przez XDR najważniejsze informacje i odsiać je od nieszkodliwych zdarzeń, potrzebne są przynajmniej 2 osoby odpowiedzialne za stałe monitorowanie narzędzia. W przypadku pozostawienia XDR teamowi, który i tak ledwo nadąża z pracą, przeciążeni innymi zadaniami admini szybko zaczynają ignorować powiadomienia albo celowo ustawiają zbyt luźne reguły. Właśnie w tym zakresie może przydać się zatem zewnętrzne wsparcie.

Kiedy wystarczy sam XDR? Rozwiązanie tego typu sprawdzi się jako wystarczający, samodzielny fundament ochrony (bez potrzeby dokupywania systemu SIEM), pod warunkiem, że zintegruje się go z zewnętrzną opieką (MDR/SOC). XDR, choć genialny w walce tu i teraz, nie analizuje jednak historycznych czy bardzo specyficznych logów – w razie audytu nie pomoże udowodnić, co działo się w systemach rok czy dwa temu. Aby spełniać funkcję analityki śledczej, system musi przekazywać zebrane dane dalej, bezpośrednio do SIEM.

SIEM – zabezpieczanie śladów

SIEM to wyższa szkoła jazdy: w zasadzie w ogóle nie służy do bezpośredniego starcia z hakerem. To potężny mózg analityczny i magazyn w jednym: bez przerwy zasysa miliardy logów aktywności każdego urządzenia, od routera i bazy danych, po drzwi z dostępem na kartę. Jeśli założyć, że EDR zbiera dowody, a XDR łączy je w całość, SIEM dopełnia je jako pełnoprawne biuro detektywistyczne, analizujące informacje z ostatnich miesięcy i szukające ukrytych wzorców i anomalii. Jeśli audytor zapyta, kto miał dostęp do konkretnej bazy 183 dni temu, SIEM wyciągnie na to niepodważalny dowód w kilka minut.

Czy z obsługą poradzi sobie typowy dział IT? Nie: i to najważniejsza informacja dla zarządu. Zarządzenie SIEM to domena analityków śledczych – nie administratorów systemów czy sieciowców. Nawet w 30-osobowym dziale IT wypełnionym doskonałymi fachowcami, nikt nie ma kompetencji ani (przede wszystkim!) czasu na ręczne pisanie reguł korelacji i przeglądanie milionów linii logów. Nieobsługiwany przez nikogo system będzie zbierał „kurz”, a firma przepali ogromny budżet na licencje. SIEM ma sens tylko wtedy, gdy stoi za nim dedykowany zespół SOC 24/7, utrzymujący system, piszący dla niego dedykowane scenariusze wykrywania zagrożeń i analizujący dane przez całą dobę.

…I właśnie taką usługą się zajmujemy.

Kiedy wystarczy Ci tylko SIEM? Zaskoczenie: nigdy. Kupowanie samego systemu SIEM porównać można do wynajęcia detektywa bez oczu i uszu – choć jego umysł pracuje, nie ma możliwości czerpania danych. Narzędzie nabiera sensu biznesowego dopiero wówczas, gdy połączy się je z resztą kompletu: XDR (który, jak już wiesz, zawiera w sobie ochronę EDR).

Iluzja samonaprawiania. Dlaczego zakup najlepszego systemu bez obsługi to wyrzucanie pieniędzy?

Dostawcy oprogramowania rzadko opowiadają wprost, co ich systemy potrafią zrobić autonomicznie. Zobacz, jak wygląda rzeczywistość, gdy zostawisz EDR, XDR i SIEM bez bieżącej opieki inżynierskiej:

Nieobsługiwany na bieżąco EDR da radę bez udziału człowieka zablokować najbardziej oczywiste zagrożenia i odciąć komputer od sieci. Niestety, bez obsługi człowieka może uciążliwie blokować akcje, które jedynie wyglądają na podejrzane, paraliżując codzienną pracę. Nie poradzi sobie też z nocnymi i zmasowanymi atakami i nie przeprowadzi śledztwa na podstawie zebranych informacji. Cyberprzestępca, który zauważy, że EDR zablokował mu jedno konto, nie podda się i będzie szukał podatności dalej.
Nieobsługiwany na bieżąco XDR świetnie poradzi sobie z uporządkowaniem chaosu i zebraniem dowodów z różnych miejsc. Nie jest jednak strategiem: pozostawiony bez stałej, konsekwentnej obsługi, będzie tylko przyglądał się temu, jak haker krok po kroku przejmuje kontrolę nad firmą.
Nieobsługiwany na bieżąco SIEM nie przydaje się… absolutnie do niczego. Choć genialnie zbiera i zapisuje logi z całej firmy, pomagając pod kątem NIS2, bez człowieka służy wyłącznie za gigantyczny strych. Robi dokładnie jedną rzecz: posłusznie i bez przerwy przyjmuje i zapisuje miliony linii logów z całej firmy. To jednak oprogramowanie ślepe na ataki, dopóki człowiek nie napisze do niego odpowiednich reguł – nieskonfigurowany SIEM zapisze log o tym, że haker właśnie kopiuje bazę danych, ale nie przekaże tych informacji dalej.
Nieobsługiwany na bieżąco pakiet narzędzi (kupowanych bez zrozumienia, że XDR ma już w sobie EDR) to najbardziej nieuzasadniona inwestycja w historii Twojej firmy.

EDR, XDR, SIEM a różnice w doborze wykonawcy. Jak nie przepłacić za marketing?

Boisz się, że skończysz z nieużytecznym narzędziem? Nie grozi Ci to, jeśli wykryjesz kilka sztuczek.

Przede wszystkim, handlowcy często zaniżają koszty samej licencji lub pierwszego etapu wdrożenia, żeby tylko podpisać umowę. Dopiero w trakcie prac okazuje się, że system nie widzi Waszego kluczowego oprogramowania ERP albo specyficznej bazy danych. Wykonawca wystawia wtedy kolejną fakturę za tzw. customizację (pisanie dedykowanych reguł), wydłużając listę kosztów do maksimum. Dowiedz się więc, czy kupujesz oprogramowanie wraz z pełnym wdrożeniem i ręcznym przygotowywaniem reguł.

Inni wykonawcy podłączają system bez całodobowej opieki, a w razie wykrycia zagrożenia po prostu wysyłają maila z alertem do i tak zawalonego robotą działu IT firmy. W zapisie umowy możesz znaleźć też np. informację o wyjątkowo wydłużnym czasie reakcji, obejmującym np. 4 godziny. Dla hakera to wystarczająco, by sparaliżować całą infrastrukturę i zatrzeć za sobą ślady. W umowach szukaj więc zapisów o natychmiastowej reakcji oraz jasnej definicji działań (np. izolacja hosta, zablokowanie ruchu na firewallu) – „odbiór zgłoszenia” nie znaczy jeszcze nic.

Oczywiście, takie zapisy dotyczą firm, które dostarczają nie tylko gołą licencję (często na zasadzie zwykłego resellera), lecz oferują także monitoring w modelu managed lub z pełną obsługą.

Jedną z takich firm jesteśmy właśnie my – oferujemy całodobowe wsparcie SOC, w ramach którego nasi inżynierowie biorą na siebie incident response i natychmiastową reakcję w chwili zagrożenia. Nie zostawiamy Cię z bezużytecznym alertem, który czeka 8 godzin na obsługę: sami odcinamy hakerów. Dostarczamy też wszelkie usługi okołowdrożeniowe: audyty bezpieczeństwa oraz testy penetracyjne i phishingowe. Każde wdrożenie poprzedzamy gruntownymi konsultacjami – z osobnym zestawem podkładek technicznych, budżetowych i argumentów dla IT oraz zarządu. Szczegółowo wyjaśniamy przy tym zawiłości zrozumiałym językiem: czy chodzi o różnice między EDR, XDR i SIEM, czy o segmentację sieci produkcyjnych i wdrażanie polityk Zero Trust.