XDR十问答疑

星云数世咨询

在去年2月份的RSA大会上，XDR引发了一些小小的讨论，而自此之后，XDR就收到了大量的注意，并且有可能在今年的会议上成为热词。

不过，XDR依然在一个早期阶段，而且有时候因为一些过于夸张的说法而引起误解。这篇文章可以解释一些关于XDR的疑问。

到底什么是XDR？

ESG将XDR定义为，一种能将混合IT架构的安全产品集成的套件，目的是协同、互动，进行威胁防范、检测和响应。

换句话说，XDR将各类控制点、安全测量工具、分析工具和运营集成到一个企业级系统当中。

XDR有哪些安全技术？

这个问题往往由于不同安全厂商要将XDR融入自己产品时进行的不正常夸大，而让其他人开始对XDR有所误解。

安全厂商会提供不同组合的XDR，而ESG的研究指出，大型企业真正需要的XDR应包含端点/服务器/云负载安全、网络安全、绝大部分的威胁指标安全（比如电子邮件、网站）、文件杀毒、威胁情报和分析等。XDR厂商还需要将基础的SOAR功能加入。

XDR的价值在哪？

XDR需要达到的目的，是通过技术集成和高级分析，帮助组织极大提升威胁检测和响应速度——尤其是在现在用不同工具零散处理的状况下。XDR也需要能够基于检测攻击杀伤链，检测到低速攻击以及APT攻击，而不是依靠独立的信号进行分析。用这种方式，XDR将安全控制、安全运营紧密地联系在了同一个集成解决方案中。

XDR是否有市场？

XDR显然是有市场的，ESG研究指出，84%的组织已经积极在集成安全技术，因此XDR有望成为安全技术集成的一个转折点。另外，80%的组织更倾向于将自己主要的安全技术预算花费在一个企业级安全厂商上。XDR厂商需要能让CISO们信服，他们的产品才是企业真正需要的集成方案。如果这些厂商能做到，那XDR必然是一个巨大的机遇。

XDR如何部署？

如果XDR需要有效实现价值，组织必须接受XDR的理念，并且愿意用XDR部件取代一些交点上的工具进行部署。CISO们需要选择一个起点（比如端点安全），然后当他们相关的技术快到期的时候，用XDR的部件替代之前的方案。

理论上来说，XDR随着增加的部件越多，价值越大。而由于这种部署方式，XDR厂商需要让CISO们理解，XDR在长期的价值要高于任何当前其他集成的价值。

哪类组织最适合XDR？

最适合的一类企业要算中等市场的公司，以及缺乏人员或者技术来搭建他们自己集成结构的小型企业。还有一些行业也比较适合XDR，包括：高等教育、医疗、地方政府等。

但是，这不代表XDR在大企业处没有市场，但是鉴于这些机构有大量不同的安全技术和控制，部署方面显然会更加困难。企业级CISO们在使用XDR前，需要更多的推演和操作。

XDR会和EDR以及MDR形成竞争吗？

在和EDR竞争方面，XDR厂商需要表现出XDR相比EDR，是一个范围更广，更集成的解决方案。而在和MDR对比时，XDR厂商需要注重XDR管理服务，保证客户能够获得最佳的服务，以及有完善导向的管理服务。

XDR解决方案是专有的吗？

既是，又不是。鉴于安全行业是极度多样化的，XDR厂商必须要支持一定程度的开放性，比如开源消息总线集成、开放的API、合作伙伴生态系统、行业标准等等。有些开源XDR解决方案可能会演化成为ELKStack，但这显然不是现在要考虑的。

XDR会和SIEM、SOAR、或者TIP形成竞争吗？

尽管说XDR愿景很广阔，但是暂时没有XDR解决方案有足够强大的功能，能在大企业的SOC中有一席之地。然而，这不代表将来XDR厂商不会增加更多的功能和规模，但是当下确实不那么亮眼。因此，XDR解决方案在可预见的未来还是需要和SOC系统协同。那些能够用XDR提升SOC效率的厂商会更为成功。值得注意的是，XDR可能对level 1的SOC分析师在安全告警鉴别方面尤为合适。这点在XDR解决方案能够提供高级分析和高易用性时，更加明显。

哪些厂商在销售XDR解决方案？

XDR厂商名单变化相当频繁，但暂时来看，有博通、思科、FireEye、McAfee、微软、派拓网络、Stellar Cyber、趋势科技和VMware。国内首个大力提倡XDR理念的企业则是亚信安全。另外，一些EDR厂商也在逐渐加入，开始从端点安全往外扩展。

这些只是XDR的初步问题，之后还有更多的问题进一步探讨这个技术：XDR部署的复杂性是否会减弱其市场穿透力？XDR将来是否会像UEBA一样被归入SOC？XDR最终是否能够在安全技术市场站立脚跟？这些都是将来需要考虑的问题。

关键词：安全集成；XDR；