Razem z rosnącą liczbą cyberzagrożeń i przytłaczającą ilością informacji dotyczących cyberbezpieczeństwa, organizacje stają przed szeregiem wyzwań związanych z ich bezpieczeństwem, a także wyborem zawansowanych technologii mających tę ochronę zapewnić. Dodatkowo branża cybersecurity naszpikowana jest różnego rodzaju skrótami i akronimami, których znaczenia oraz różnic między nimi występujących nie wszyscy są świadomi. Poniżej wyjaśniamy zatem czym jest SIEM, SOAR i XDR, jakie te narzędzia mają funkcjonalności oraz czym się między sobą różnią.
SIEM (Security Information and Event Management)
To zestaw narzędzi i usług, które łączą ze sobą funkcje zarządzania zdarzeniami bezpieczeństwa (SEM) i zarządzania informacjami bezpieczeństwa (SIM). Oferują one ogólny wgląd w stan bezpieczeństwa organizacji. Gromadzi i analizuje dane z różnych źródeł, takich jak urządzenia sieciowe, serwery, punkty końcowe i aplikacje, aby zapewnić monitorowanie w czasie rzeczywistym, korelację zdarzeń i możliwości zarządzania dziennikami, umożliwiając analitykom wykrywanie i reagowanie na incydenty bezpieczeństwa.
Najistotniejsze funkcje SIEM to:
- zbieranie danych dziennika z całej organizacji; wykorzystanie ich do identyfikacji, kategoryzacji oraz analizy incydentów i zdarzeń;
- zapewnienie wglądu w złośliwą aktywność poprzez pobieranie danych z każdego zakątka środowiska, w tym wszystkich aplikacji sieciowych oraz sprzętu;
- agregacja wszystkich danych na jednej scentralizowanej platformie;
- wykorzystanie danych do generowania alertów, tworzenia raportów i wspierania reakcji na incydenty.
SIEM pozwala organizacjom analizować dane ze wszystkich aplikacji sieciowych i sprzętu w dowolnym momencie, co może im pomóc rozpoznać potencjalne zagrożenia bezpieczeństwa, zanim będą one miały szansę zakłócić działalność biznesową.
SOAR (Security Orchestration, Automation and Response)
To zbiór programów opracowanych w celu wzmocnienia cyberbezpieczeństwa organizacji. Platforma SOAR, opierając się na fundamencie SIEM, umożliwia zespołowi analityków monitorowanie danych bezpieczeństwa płynących z różnych źródeł, w tym systemów informacji i zarządzania bezpieczeństwem oraz platform analizy zagrożeń.
Najistotniejsze funkcje SOAR to:
- zbieranie informacji o zagrożeniach, automatyzacja rutynowych reakcji i selekcja bardziej złożonych zagrożeń, minimalizująca potrzebę interwencji człowieka;
- połączenie trzech rozwiązań programowych – zarządzania zagrożeniami i lukami w zabezpieczeniach, reagowania na incydenty bezpieczeństwa oraz automatyzacji operacji bezpieczeństwa – w celu wzmocnienia i usprawnienia stanu bezpieczeństwa;
- wykorzystanie ręcznych interwencji człowieka, a także technologii uczenia maszynowego do analizy przychodzących danych bezpieczeństwa i ustalania priorytetów działań w zakresie reagowania na incydenty.
Celem platformy SOAR jest gromadzenie danych związanych z zagrożeniami i automatyzacja reakcji na nie. Dzięki jej wykorzystaniu, zespół ds. bezpieczeństwa może zwiększyć swą wydajność i czas reakcji.
XDR (Extended Detection and Response)
To kolejna ewolucja tradycyjnych rozwiązań bezpieczeństwa. XDR przyjmuje holistyczne podejście do wykrywania i reagowania na zagrożenia, które usprawnia pozyskiwanie danych bezpieczeństwa, analizę oraz przepływy pracy związane z zapobieganiem i naprawą w całym stosie zabezpieczeń organizacji. Dzięki pojedynczej konsoli do przeglądania i działania na danych o zagrożeniach, XDR umożliwia zespołom ds. bezpieczeństwa łatwe odkrywanie ukrytych i zaawansowanych zagrożeń oraz automatyzację nawet złożonych, wieloetapowych reakcji. XDR często dzieli się na dwa typy: otwarty XDR i natywny XDR.
Najistotniejsze funkcje XDR to:
- zbieranie, korelowanie i analizowanie danych z punktów końcowych, obciążeń w chmurze, sieci i poczty e-mail za pomocą zaawansowanej automatyzacji i narzędzi sztucznej inteligencji;
- priorytetyzacja danych i dostarczanie informacji zespołom ds. bezpieczeństwa w znormalizowanym formacie za pośrednictwem jednej konsoli;
- koordynacja silosowych narzędzi bezpieczeństwa, ujednolicenie i usprawnienie analizy bezpieczeństwa, badań i środków zaradczych w jednej skonsolidowanej konsoli;
- może obejmować dostęp do doświadczonych ekspertów w zakresie wyszukiwania zagrożeń, analizy zagrożeń i analityki, w przypadku zakupu jako rozwiązanie zarządzane.
Dzięki powyższym funkcjom XDR radykalnie poprawia widoczność zagrożeń, przyspiesza operacje związane z bezpieczeństwem, zmniejsza całkowity koszt posiadania (TCO) i odciąża personel odpowiedzialny za bezpieczeństwo.
Główne różnice między SIEM, SOAR i XDR
Zarówno XDR, jak i SIEM oraz SOAR dotyczą podobnych przypadków użycia, ale przyjmują zasadniczo różne podejścia.
SIEM to przede wszystkim narzędzie do gromadzenia dzienników, które ma wspierać zgodność, przechowywanie i analizę danych. Analityka bezpieczeństwa to funkcja, która została w dużej mierze “przykręcona” do rozwiązań SIEM i nie identyfikuje odpowiednio zagrożeń bez uruchomienia oddzielnej funkcji analizy bezpieczeństwa na dużym zestawie danych.
Jak wspomniano wcześniej, SOAR obejmuje orkiestrację, automatyzację i możliwości reagowania na SIEM, a także umożliwia koordynację różnych narzędzi bezpieczeństwa. Jednak dwukierunkowa łączność jest tam, gdzie zaczyna się i kończy SOAR. Choć cenny, SOAR nie rozwiązuje wyzwania związanego z analizą dużych zbiorów danych ani nie chroni danych lub systemów samodzielnie.
Z kolei XDR powstał po to, aby wypełnić pustkę stworzoną przez SIEM i SOAR poprzez wyraźnie inne podejście zakotwiczone w danych i optymalizacji punktów końcowych. XDR posiada zaawansowane możliwości analityczne, które pozwalają organizacji skupić się na zdarzeniach o najwyższym priorytecie i szybko na nie reagować. Należy jednak podkreślić, że chociaż XDR oferuje organizacjom nowe możliwości w zakresie bezpieczeństwa oraz lepszą ochronę, nie może i nie powinien w pełni zastąpić SIEM lub SOAR. Firmy potrzebują więc wszystkich trzech wspomnianych narzędzi.
