מה ההבדל בין XDR ל-EDR ומה תפקידם בהגנת הסייבר הארגוני?

כמות מתקפות הסייבר ורמת התחכום שלהן גוברת והולכת. המשמעות היא שבחלק מהמקרים כלי האבטחה המסורתיים אינם מספקים מענה מספיק.
נוף האיומים הופך למורכב ומהיר יותר בשנים האחרונות, והטכנולוגיות והאסטרטגיות בתחום הסייבר לא מפסיקות להתפתח, מתוך ניסיון לתת מענה לאיומים העדכניים ביותר. הטכנולוגיות החדשות נובעות מתוך הבנה כי יש דרישה לגישה חדשה וכוללת לזיהוי ותגובה אשר מקיפים את נקודת הקצה, הרשת והענן גם יחד.

על מנת לעשות קצת סדר בתחום, אלו הפרטים על המגמות והאסטרטגיות הנפוצות כיום בתחום אבטחת הסייבר, ההבדלים ביניהם, וההמלצה של אינפורמט בנוגע לפתרון הסייבר המתקדם ביותר בשוק נכון ל-2023.

מה פירוש המונח EDR?

פירוש ראשי התיבות – 'זיהוי ותגובה בנקודות הקצה', או באנגלית – Endpoint Detection & Response. הכוונה לטכנולוגיה וכלי לזיהוי, חקירה ותגובה לאיומים מתקדמים על נקודות קצה, אשר נועד לפצות על החסרונות של פתרונות מסורתיים של הגנה על נקודות קצה. EDR מתעד התנהגות רלוונטית על מנת לזהות תקריות שחמקו ממניעה מראש. פתרונות אבטחה מסוג EDR נותנים לארגון נראות מלאה לגבי כל פעילות נקודות הקצה הקשורות לאבטחה. בין השאר, הכלים מתעדים חיבורי רשת, התחלות של תהליכים, טעינת מנהלי התקנים, שינויים ברישום, גישה לדיסק, גישה לזיכרון ושינויי רישום.

ומהו XDR?

פרוש המונח XDR הוא זיהוי ותגובה מורחבת, או באנגלית – Extended Detection & Response. מדובר בטכנולוגיה מבוססת SaaS המהווה את הדור הבא והתפתחות טבעית של פתרונות ה-EDR.

העדר פתרונות טכנולוגיים מסורתיים מספקים לאיומים המורכבים החדשים בתחום אבטחת מידע וחוסר ההצלחה והיכולת לזהות ולהגיב לאיומים מורכבים על פני וקטורים מרובים, הובילו לפיתוח ה-XDR, המשלב נתונים ממוצרים ומקורות אבטחה מרובים, לרבות EDR, ניתוח תעבורת רשת ואבטחת ענן.

כל אלה מיועדים כדי לספק תמונה הוליסטית של מצב האבטחה של הארגון ומתן פתרון עם יכולות לימוד AI תוך התאמה למצבים משתנים.

ברשתות המיושמות בארגונים של ימינו קיימים צמתי גישה ומקורות מידע נוספים אשר עשויים להוות 'חוליות חלשות' עבור על ידי תוקפים בדרך לפריצה מוצלחת. חוליות אלה כוללות מכשירים ניידים, מכשירי IoT ואפילו קונטיינרים ויישומי ענן (SaaS) ארגוניים.

XDR הוא פתרון אשר פורץ את גבולות נקודות הקצה על מנת לקבל החלטות על סמך נתונים ממקורות נוספים, והוא יכול לנקוט בפעולה בכל שכבה מהשכבות של התשתית הארגונית – בדוא"ל, ברשת, במקרים של גניבת זהות, ובקרת גישה ועוד.

XDR מתוכנן ומסוגל להציע נראות רחבה יותר של איומים פוטנציאליים על ידי שילוב והתאמה של נתונים מנקודות קצה וכלי אבטחה שונים. בעקבות הנראות המשופרת, צוותי הסייבר יכולים לזהות, לחקור ולהגיב לאיומים באופן יעיל ומהיר יותר.

XDR נחשב קונספט אבטחת סייבר חדשני יחסית, אשר פותח מתוך כוונה לעזור לצוותי הסייבר וה-IT למיין את שלל התראות האבטחה ולזהות איומים משמעותיים מהר יותר, והוא מהווה טכניקה קריטית למתן כיסוי הולם נגד איומים מורכבים. ממסוף יחיד, הוא מספק יכולות משופרות של ציד איומים חוצה תחומים וחקירה משפטית.

מה ההבדל בין XDR ל-EDR?

XDR ו-EDR דומים במטרות הכלליות שלהם – זיהוי איומים והפחתת סכנות בנקודות הקצה של הארגון. ההבדל ביניהם הוא בהיקף ובפונקציונליות של הכלי- EDR פועל ברמת נקודות הקצה, בעוד ש-XDR מגיע אל מעבר לנקודות קצה בודדות (ומכיל את EDR כחלק מתמהיל המוצרים שבו, המציע אפשרויות של צבירת נתונים ממספר מקורות – נקודות קצה, רשתות וסביבות ענן, כך שהוא מספק תמונה רחבה יותר של האיומים. נקודת המבט הרחבה יותר מאפשרת זיהוי מוקדם יותר של איומים מורכבים אשר כוללים תנועה צדדית בתוך הרשת או מתקפות המיודעות למספר סביבות.

על בסיס מאגר יחיד של נתונים גולמיים מכל רחבי המערכת, XDR מאפשר איתור ותגובה לאיומים במהירות ובאופן משמועתי ויעיל יותר בהשוואה ל-EDR, לרבות איתור ואיסוף נתונים ממגוון רחב יותר של מקורות.

עבור הארגון, XDR מאפשר ומציע מנעד פתרונות משמעותי יותר בכל הנוגע לאיומי סייבר ואבטחת מידע. אירועים שלא היו מטופלים עם פלטפורמות EPP, לדוגמא, מטופלים על ידי XDR, או לדוגמא, במתקפת כופר החוצה את הרשת נוחתת בתיבת הדוא"ל ותוקפת לאחר מכן את נקודת הקצה.

XDR משלב בין אבטחת מידע לחסימת המתקפה לבין הסרת הגישה – כל זאת באמצעות מדיניות ארגונית המוגדרת על ידי מנהל המערכת, בשילוב עם לוגיקה מובנית בתוך מנוע האיתור של פלטפורמות ה-XDR.

יתרה מכך, באמצעות יכולות AI ואוטומציה מאפשר פתרון XDR הפחתה של העומס בקרב האנליסטים. כתוצאה מכך, התפוקה של צוות אבטחת המידע גדלה, מה שמאפשר לארגון לרשום החזר השקעה משמעותי באמצעות אימוץ והטמעת פתרון ה-XDR.

 

מונחים נוספים שכדאי להכיר בהקשר XDR

בעולמות התוכן של XDR – חשוב ללמוד מספר מושגים הקשורים לנושא וביניהם בעיקר: SIEM, MDR ו-SOAR.

SIEM, (ניהול מידע ואירועי אבטחה), הוא כלי המסייע לארגונים לזהות, להעריך ולהגיב לאיומי אבטחה עוד לפני שאלה משבשים את הפעילות העסקית. זוהי מערכת ניהול אבטחה המשלבת ניהול אירועי אבטחה (SEM) וניהול מידע אבטחה (SIM).
MDR הוא קיצור של המונח Managed Detection and Response ומשמעותו שירות אבטחת סייבר המוצע בדרך כלל על ידי ספק שירותי אבטחה מנוהלים. השירות מורכב בדרך כלל משילוב של טכנולוגיה, תהליכים ואנשים המשתפים פעולה כדי לזהות ולהגיב לאיומי סייבר. הוא נועד לספק הגנה, זיהוי ותגובה מתמשכים של איומי אבטחת סייבר.

SOAR הוא קיצור של המונח Security Orchestration, Automation, and Response. מדובר בחבילת תוכנה המאפשרת לחברה לאסוף מידע על איומי אבטחה ולהגיב לאירועי אבטחה ללא צורך בהתערבות אנושית. טכנולוגיית SOAR מאפשרת תיאום, ביצוע ואוטומציה של משימות בין אנשים וכלים מגוונים בתוך פלטפורמה אחת. המערכת מאפשרת שיפור האפקטיביות של פעולות אבטחת מידע פיזיות ודיגיטליות.

על מנת להבין את ההבדלים בין הפתרונות, כדאי לזכור כי SOAR משמש לאוטומציה ולשיפור היעילות של משימות אבטחה, XDR מספק תצוגה אחידה של כלים שונים ומגמות תקיפה, המוקד העיקרי של EDR הוא אבטחת נקודות קצה ו-MDR הוא שירות המספק זיהוי ותגובה מתמשכים של איומי אבטחת סייבר. SIEM משמש בעיקר לזיהוי איומים, תאימות וניהול אירועים.

SentinelOne – פלטפורמת ה-XDR המובילה

פתרון ה-XDR המתקדם של SentinelOne מציע אבטחת מידע בגישה חדשנית, אשר מבצעת זיהוי התנהגות חשודה ומניעת התקפת Zero Day בזמן אמת.

SentinelOne הישראלית היא החברה הראשונה בעולם אשר פיתחה את פתרונות ה-EDR, וכעת היא מציעה את הדור הבא של אבטחת הסייבר לארגונים.

הפלטפורמה של החברה כוללת טכנולוגיה ייחודית להגנה על נקודות קצה, מנועי תוכנה הפועלים במקביל לטובת ניטור, זיהוי פעולה חשודה, חסימה ומניעה. מנוע איסוף הנתונים של הפלטפורמה מאפשר ניתוח, תחקור ומעקב אחרי אירועי סייבר. שכבות ההגנה של פתרון ה-XDR של SentinelOne מציעות הגנות מאיומים מוכרים באמצעות התממשות למערכות Cloud Intelligence, חסימת ניסיונות לניצול פרצות ועד זיהוי ומניעה של התקפות בכל סוגי הקבצים, או התקפות הפועלות על זיכרון בלבד, ללא קובץ מקומי.