什麼是擴展的偵測與回應 (XDR)？
擴展的偵測與回應 (或 XDR) 是一種全新的威脅偵測與回應方法，可以針對網路攻擊、未經授權的存取和濫用提供全面防護。XDR 是由 Palo Alto Networks 技術長 Nir Zuk 於 2018 年所提出，其打破傳統的安全孤島，可以針對所有數據來源進行偵測和回應。
XDR 解說
XDR 在網路安全性中的演變與必要性
數位環境見證呈指數級增長的網路威脅，讓網路安全專業人員不斷創新其防禦策略。近年來出現的最引人矚目的創新之一就是擴展的偵測與回應 (XDR)。XDR 是從其前身端點偵測與回應 (EDR) 演變而來，可提供全面且整合的威脅偵測、回應和緩解方法，代表網路安全性的典範轉移。
傳統的網路安全解決方案難以因應現代化威脅的複雜度。在針對企業整個 IT 生態系統中多個來源 (包括端點、網路、雲端環境和應用程式) 的不同數據進行對照並建立彼此之間的關聯性後，XDR 讓安全團隊能夠對於潛在威脅及其更廣泛的脈絡取得完整的可視性。這種脈絡了解對於準確識別複雜的多階段攻擊來說至關重要，否則這些攻擊可能會被忽視，並大幅縮短威脅識別和緩解之間的時間。
攻擊者已經超越單一途徑攻擊，轉而精心策劃複雜的多重途徑攻擊活動，以利用跨多個進入點的弱點。通常僅著重於孤立防禦層的傳統安全措施已經無法跟上這些進階攻擊的步伐。XDR 能夠整合安全數據並達到即時分析、威脅偵測和快速回應來弭平這些差距。XDR 不僅增強企業阻止威脅的能力，還提供更簡化且更有效率的安全作業，進而釋出原本用於手動調查和回應任務的寶貴資源。
在此處的互動式地圖中研究 XDR 的演進。
XDR 與傳統安全解決方案之間的差異
擴展的偵測與回應 (XDR) 不但與傳統安全解決方案之間有相當大的差異，還提供更全面且更具適應性的網路安全方法。以下列出一些關鍵差異，凸顯 XDR 相對於傳統方法的優勢：
範圍和數據整合:
傳統解決方案通常只能以孤立方式運作，並著重於特定的防禦層，例如端點、網路或應用程式安全性。這種片段片化限制他們有效偵測及回應協調式多重途徑攻擊的能力。
XDR 整合多個來源的數據，包括端點、網路、雲端環境和應用程式。這種整體方法提供更廣泛的威脅視角，並達到不同途徑之間的數據關聯性，有助於發現可能被遺漏的複雜攻擊模式。
脈絡了解:
傳統解決方案缺乏完整脈絡，通常只能提供孤立的警示，需要手動調查及建立關聯性才能了解攻擊的完整範圍。
XDR 可分析 IT 環境中不同層級的數據來提供脈絡見解。此內容有助於安全團隊了解攻擊者的策略、技術和程序 (TTP)，進而做出更明智的回應。
自動化威脅偵測與回應:
傳統解決方案非常依賴人為介入來進行威脅分析、調查和回應，導致在偵測和緩解攻擊時發生延遲。
XDR 採用自動化和機器學習來快速識別及回應威脅。自動化劇本可以根據威脅嚴重程度執行預先定義的動作、減少回應時間，讓安全團隊能著重於更具策略性的任務。
即時監控:
傳統解決方案通常缺乏即時監控功能，因此在威脅出現時的偵測和回應能力將面臨挑戰。
XDR 提供整個 IT 生態系統的即時監控和持續威脅偵測。這種主動方法有助於在早期階段識別和阻止威脅，因此可將潛在損害降到最低。
適應性與可擴充性:
傳統解決方案可能難以適應新的攻擊技術以及威脅持續演變的動態性質。擴展這些解決方案可能非常複雜，而且會佔用大量資源。
XDR 解決方案的目的在於適應新的威脅和攻擊途徑。它們可以進行擴展以適應不斷增長的 IT 基礎結構，即使在企業的數位足跡持續擴大時也能確保一致的防護。
雲端和遠端工作支援:
傳統解決方案可能不太適合保護日漸普遍的雲端環境和遠端工作情境。
XDR 的目的在於因應不同的環境，包括雲端系統和遠端裝置。這種靈活性讓企業能夠在四處分散且不斷發展的基礎結構中維護安全性。
XDR 與 EDR 的比較
EDR 著重於端點層級，而 XDR 則會將其範圍擴展到多個途徑，可以提供更整合且全面的威脅偵測與回應方法。這種更廣泛的視角可以達到更有效的威脅捕捉、更快的事件回應速度，並可改善整體安全狀況。EDR 和 XDR 之間的選擇將取決於企業的特定要求、資源和安全成熟度。
EDR 和 XDR 的主要考慮因素對於就企業的安全狀況做出明智的決策來說至關重要，例如：保護範圍、整合、威脅偵測與回應、營運效率、成本和資源考慮因素以及廠商依賴性。
請參閱 EDR 與 XDR 的比較以深入了解 EDR 和 XDR 的優點、缺點和最佳應用。
XDR 與 SIEM 的比較
了解擴展的偵測與回應 (XDR) 與安全資訊和事件管理 (SIEM) 系統之間的差異對於網路安全領域來說至關重要。它們是具有不同目的和功能的獨特工具，了解其工作原理可以協助您制定更明智的網路安全策略。
SIEM 系統會彙總並分析整個 IT 環境 (包括網路裝置、系統和應用程式) 產生的日誌數據。它們會提供安全警示的即時分析，並支援合規性報告和事件回應。SIEM 的一個關鍵作用是其能夠跨系統建立事件之間的關聯性，並根據定義的規則建立警示。然而，傳統 SIEM 通常是被動的，並且會依賴預先定義的規則，這可能會限制其在識別新產生或複雜威脅時的有效性。
另一方面，XDR 會將控制點、安全基礎結構和威脅情報整合到一個共同平台中。它會自動收集來自多個安全產品的數據並建立彼此之間的關聯性，以促進威脅偵測並改善事件回應。XDR 通常比 SIEM 更主動，其會使用機器學習和其他進階分析來識別及回應威脅。
請參閱我們的文章 XDR 與 SIEM 的比較，了解 XDR 與 SIEM 如何為您的網路安全策略提供資訊？
XDR 與 MDR 的比較
擴展的偵測與回應 (XDR) 與託管式偵測與回應 (MDR) 的結合可以增強企業的安全狀況。兩者之間的根本差異在於 XDR 是一種供團隊 (無論是託管團隊還是內部團隊) 使用的安全產品，可偵測、回應和調查各種安全事件。MDR 服務則可為缺乏資源的企業提供安全服務，以便其能夠自行處理威脅監控、偵測和回應。
深入探討 XDR 和 MDR 之間的根本差異。
XDR 的優勢
提升的可視性和偵測能力
可視性和偵測能力對於緩解威脅極為重要。如果您看不到威脅，就無法進行識別或調查，因此當然無法阻止該威脅。威脅行動者會利用雲端和機器學習來發動大規模且多層面的攻擊，讓他們能夠成功潛伏並伺機洩漏高價值數據和智慧財產。這代表著 XDR 必須具有強大的可視性和偵測功能，包括下列各項：
廣泛可視性和脈絡了解：孤立的單點產品導致各自孤立的數據，因此難以發揮作用。您在自己的環境中至少要像威脅行動者一樣地敏捷，才有可能有效地防範攻擊。XDR 在整個環境中必須具有可視性和偵測功能，才能整合來自端點、網路和雲端環境的遙測。此外，它必須能夠關聯這些數據來源，以根據脈絡了解各種事件關聯的方式，以及確定特定行為可疑與否的時機 (參閱下方的圖)。
XDR 可消除偵測與回應的傳統隔閡。
數據保留期間：攻擊者通常會很有耐心並且堅持不懈。他們知道只要慢慢來，等到針對他們的偵測技術的日誌保留期間結束，就很難加以偵測。XDR 在單一儲存庫中收集、關聯和分析來自網路、端點和雲端的數據，並且提供 30 天以上的歷史數據保留期間。
內部與外部流量分析：傳統的偵測技術主要著重於外部攻擊者，無法提供對潛在威脅行動者的完整檢視。偵測無法僅尋找來自週邊以外的攻擊。它還必須對內部威脅進行分析以尋找異常和可能的惡意行為，以及找出憑證濫用。
整合式威脅情報：您必須具備處理未知攻擊的能力。平衡規模的其中一種方法是利用其他企業首先看到的已知攻擊。偵測需要依賴跨全球企業網路收集到的威脅情報。當廣大網路中的企業識別出攻擊時，您可以使用從初始攻擊中獲得的知識，識別自身環境中的後續攻擊。
可自訂偵測：企業的保護總是面臨著各種獨特挑戰，包括來自特定系統、不同使用者群組和各種威脅行動者的威脅。偵測系統也必須能夠根據您環境的特定需求進行高度自訂。這些挑戰需要一個支援自訂和預先定義偵測的 XDR 解決方案。
基於機器學習的偵測：對於看起來不像傳統惡意軟體的攻擊 (例如，入侵授權系統檔案的攻擊、利用指令碼環境的攻擊，以及攻擊登錄檔的攻擊)，偵測技術需要使用進階分析技術來分析收集到的所有遙測數據。這些方法包括受監管和半監管的機器學習。
簡化安全作業
隨著企業不斷努力因應持續斷擴大的威脅形勢和日益複雜的 IT 生態系統，XDR 可整合及自動化各種任務，提供簡化的安全管理方法。
XDR 簡化安全作業的關鍵方法之一就是透過集中化的可視性。傳統的安全解決方案通常會產生來自不同來源的大量警示，讓安全團隊必須處理大量需要篩選的數據。XDR 可將來自端點、網路、應用程式和雲端環境的數據彙總至統一平台來解決這項挑戰。這種單一窗格檢視讓安全團隊能夠對於企業的安全狀況取得全面性的深入見解，無需瀏覽不同的工具和介面。這種簡化的可視性可加快威脅偵測速度並促進決策的制定，因為安全專業人員可以掌握更廣泛的事件脈絡並即時評估其嚴重性。
此外，XDR 的自動化功能也大幅提高安全作業的效率。XDR 採用預先定義的劇本和機器學習演算法，以根據威脅模式和嚴重性自動執行任務，而不是手動進行調查和回應。這種自動化不僅加快回應程序，還能將人為錯誤的風險降到最低，讓安全人員能夠著重於更具策略性的計劃。XDR 平台可無縫地執行各種例行性和重複性任務，例如警示分類、隔離遭入侵的端點和啟動事件回應工作流程，以便安全團隊能夠將其專業知識分配在最重要的工作上面。
回應和調查速度
一旦收到對環境中潛在威脅發出的警示，您就必須能夠快速分類並調查這些威脅。有效地執行此操作 (特別是在涉及環境多個部分的攻擊中) 正是傳統偵測與回應系統辦不到的事。XDR 解決方案可透過各種調查和回應功能大幅改善此程序，這些功能包括：
相關警示和遙測數據的關聯與分組：當涉及到針對您的企業所發動的攻擊時，時間是非常關鍵的因素。當您收到警示時，表示攻擊者正在您的環境中積極執行任務並達成目標。您必須能夠快速了解攻擊及其完整的因果關係鏈結。首先，這代表著您的 XDR 工具必須自動對相關警示進行分組，並有效地優先處理最迫切需要您注意的事件，藉此減少干擾。接著，您的 XDR 工具必須能夠將來自您的網路、端點和雲端環境的活動日誌整合在一起，以建立攻擊時間表。將事件的活動和順序視覺化，可以判斷威脅的根本原因，並評估潛在損害和範圍。
XDR 會從任何來源收集數據，然後再關聯及整合這些數據，以達到更好的偵測及捕捉。
針對事件進行快速調查，同時在單一位置即時存取所有的鑑識構件、活動和威脅情報：檢閱如事件日誌、登錄機碼、瀏覽器記錄等關鍵構件以快速找出攻擊者活動。只能個別用於鑑識、端點防護以及偵測與回應的單一用途代理程式會嚴重影響效能並增加複雜度。為了解決事件，即使攻擊者試圖掩蓋他們的蹤跡，您仍需要找到進入點並追蹤殘餘物件。
具有快速切換功能的整合式使用者介面：當他們開始深入研究警示時，您的安全分析人員將需要一個簡化的工作環境，讓他們只需按一下，就可以針對任何來源的警示了解其根本原因。分析人員不應該浪費時間在各種不同的工具之間切換。
手動和自動進行威脅捕捉：越來越多的企業主動尋找活躍攻擊者，進而讓他們的分析人員能夠制訂攻擊假設，並在環境中尋找相關活動。對於威脅捕捉的支援需要強大的搜尋能力來尋找證據以證明假設為真，並需要整合的威脅情報來搜尋已在擴展情報中看到的活動。這應該是一種整合且自動進行的程序以釐清之前是否曾見過某種威脅，而無需進行大量手動分析工作 (例如，開啟 30 個不同的瀏覽器標籤來搜尋大量威脅情報摘要以尋找已知的惡意 IP 位址)。
協調的回應：在偵測和調查威脅活動後，下一步就是執行有效的補救和政策執行。您的系統必須能夠協調地對主動式威脅做出回應，並防止之後跨網路、端點和雲端環境進行攻擊。這包括在本機或透過應用程式設計介面 (API) 建構的防禦技術之間的通訊 (也就是在網路上遭到阻止的攻擊會自動更新端點上的政策)。它還包括分析人員直接透過 XDR 介面採取回應措施的功能。
XDR 的產業使用案例
保護大型企業
大多數的企業會從眾多的監控解決方案中收到數千個警示，但是更多的干擾會適得其反。進階偵測並不代表著更多的警示，而是代表著更好且可化為行動的警示。這類進階偵測的達成不僅需要整合使用中的所有偵測技術，還需要能夠分析端點、網路和雲端數據以找出並驗證環境中攻擊者活動的複雜分析。
為此 XDR 提供全面的網路安全解決方案，在保護大型企業方面發揮關鍵的作用。它將威脅偵測、回應和防禦的各個方面匯集到一個統一的系統中。此外，XDR 還會收集和分析來自企業基礎結構不同部分 (包括網路、端點和雲端環境) 的數據以提供集中化的可視性。因此，即使面對能跨越企業安全環境中多個區域的複雜威脅，安全團隊也能夠識別並回應這些威脅。
防範進階持續性滲透攻擊 (APT)
XDR 憑藉其多方面的威脅偵測、回應和防禦方法，能夠達到對於進階持續性滲透攻擊 (APT) 的強大防禦。APT 是一種複雜且隱匿的網路攻擊，其目的在於長時間存取企業的系統，以竊取數據、從事間諜或破壞行動。XDR 的功能非常適合用來對抗 APT：
首先，XDR 跨企業網路、端點、雲端環境等的集中化可視性和數據彙總能夠識別 APT 的細微跡象。在分析行為模式和異常情況後，XDR 會發現可能表示 APT 活動正在進行的指標，協助安全團隊及早偵測到這些攻擊。
其次，XDR 包括機器學習和行為分析在內的進階威脅偵測機制，能夠精準識別 APT 行動者所採用的複雜策略、技術和程序 (TTP)。這些機制讓 XDR 能夠偵測傳統基於特徵碼的方法難以清楚識別的異常情況。
第三，XDR 的自動化威脅回應能力可以快速地遏止和緩解 APT 威脅。當偵測到 APT 活動時，預先定義的劇本可自動啟動回應，例如隔離受感染的端點或封鎖惡意通訊。迅速展開的行動破壞 APT 的持續性並限制其影響範圍。
此外，XDR 的整合和協調功能增強 APT 防禦的有效性。在連接各種安全工具並在其之間共享威脅情報後，XDR 就能夠建立資訊的關聯性以全面掌握 APT 活動的範圍，進而達到更具針對性的回應。
XDR 是一種用來防範 APT 的強大防禦手段，因為其能夠偵測細微的指標、採用進階威脅偵測技術、自動進行回應，並整合其他安全工具。這些屬性能夠以協作方式提供強大的防禦機制，可防範 APT 持續且不斷變化的威脅。
XDR 達到法規合規性
XDR 在協助企業遵循法規方面發揮著至關重要的作用，特別是在滿足 GDPR (一般數據保護規則)、PII (個人可識別資訊) 保護、HIPAA (健康保險可攜性和責任法案) 和 FINRA (美國金融業監管局) 等要求方面更是如此。以下是 XDR 在這方面提供的協助：
- 數據保護和隱私監控：XDR 的集中化可視性和全面的數據彙總功能讓企業能夠監控其基礎結構中的數據流量和存取。這有助於識別和防止對於敏感數據的未經授權存取，對於像是 GDPR 這類嚴格規範數據保護和隱私措施的法規來說，更能確保法規的合規性。
- 威脅偵測和事件回應：XDR 的進階威脅偵測功能能夠識別可能損害敏感數據的潛在入侵或未經授權的活動。一旦發生安全事件，XDR 的快速事件回應和自動化動作有助於迅速遏止入侵、將數據暴露的情況降到最低，並確保能夠遵循相關法規以針對入侵立即發出通知並解決問題。
- 風險管理和弱點評估：XDR 針對各種來源的數據進行分析和建立關聯性的能力有助於識別 IT 環境中的弱點。定期弱點評估可協助企業主動解決安全弱點，這對於持續遵循 HIPAA 和 FINRA 等需要穩健風險管理實務的法規來說至關重要。
- 稽核追蹤建立和報告：XDR 解決方案可針對各種安全事件、使用者活動和系統變更產生詳細的日誌和稽核追蹤。此稽核追蹤機制可向監管機構或稽核人員提供其安全措施和回應的證據，協助企業證明其合規性。
- 威脅情報共享：XDR 有助於跨不同安全工具和系統共享威脅情報，有助於及早偵測可能會鎖定敏感數據為目標的新興威脅。這種主動方法能夠符合各種的合規性要求，以保護敏感資訊並維護法規標準。
- 文件記錄和責任歸屬：XDR 對於安全事件、事件回應和緩解工作的記錄有助於增強責任歸屬和透明度，這對於法規合規性來說至關重要。企業可以透過維護其安全活動的完整記錄來展現對於遵循法規的承諾。
- 持續改進與監控：XDR 的持續監控和改進機制可協助企業維護持續的安全狀況，並適應新的威脅和法規變化。這將能因應持續合規需要以及不斷演變的法規。
有效 XDR 實作的策略
以下是企業可以考慮採用的特定策略以更有效地實作 XDR：
- 評估與規劃:
評估目前環境：首先了解企業現有的安全基礎結構，包括各種工具、程序和數據來源。此評估將有助於確定 XDR 可以解決的入侵。
定義目標：明確定義實作 XDR 的目標。無論是改善威脅偵測、事件回應、合規性或整體安全性，制定具體的目標都能引導您的實作策略。 - 廠商遴選:
研究和評估：探索市場上可用的不同 XDR 解決方案。評估它們的能力、特性、可擴充性、整合選項以及與企業需求和目標的一致性。
廠商合作夥伴關係：考慮具有良好追蹤記錄、客觀第三方評估、業界專業知識並致力於持續支援和更新的廠商。 - 數據整合和收集:
識別數據來源：確定需要與 XDR 整合的數據來源類型。這些可能包括網路日誌、端點數據、雲端活動等。
數據品質和強化：確保您能收集足夠精確且相關的數據，並可透過脈絡資訊使內容更豐富，以提高威脅偵測的準確性。 - 與現有工具的整合:
整合策略：規劃 XDR 如何與您現有的安全工具 (例如 SIEM、EDR 等) 進行整合。這種整合可增強整體可視性和關聯能力。
API 和連接器：探索 XDR 廠商提供的可用 API 和連接器，以簡化與現有生態系統之間的整合。 - 威脅偵測與回應工作流程:
自訂：根據企業的獨特風險、威脅形勢和合規性要求自訂偵測和回應工作流程。
自動化：針對某些類型的威脅實作自動回應，以加快事件遏止並減少人為介入。 - 人員和訓練:
技能發展：為您的安全團隊提供能有效使用和管理 XDR 平台的訓練。這可確保您的團隊能夠充分發揮該解決方案的潛力。
跨職能協作：促進安全性、IT 和合規性團隊之間的協作，以確保在實作 XDR 策略時的一致性。 - 持續監控和改進:
效能指標：定義衡量 XDR 實作有效性的關鍵效能指標 (KPI)，例如平均偵測時間 (MTTD) 和平均回應時間 (MTTR)。
定期評估：針對 XDR 實作進行定期評估，以確定需要改進的地方、調整設定並解決新興威脅。 - 法規合規性:
符合規定：自訂您的 XDR 實作，以符合企業必須遵循的特定法規要求，例如 GDPR、HIPAA 或業界特定標準。 - 廠商協作:
尋求廠商支援：與您選擇的 XDR 廠商保持密切的合作關係。利用他們的專業知識進行指導、更新和疑難排解。
請記住，有效的 XDR 實作是一種動態程序，需要持續的關切和適應。定期檢視您的策略、評估其有效性並進行必要的調整，以確保您的企業在增強安全性、威脅偵測和法規合規性等方面都能充分發揮 XDR 的優勢。
