全面檢測與響應網絡威脅，靠XDR來實現，靠譜嗎？
全面檢測與響應網絡威脅，靠XDR來實現，靠譜嗎？
在網絡安全行業中，網絡威脅的檢測與響應是個歷久彌新的研究方向，魔高一尺，道就要高一丈。全球著名IT信息化咨詢研究機構Gartner追著這個方向看了多年，從NTA推到NDR，從EPP說到EDR，在去年又提出了Extended Detection and Response的概念，也就是可擴展的檢測與響應。國內廠商一向追熱點概念追得很緊，不管是安全大廠還是站穩在細分領域里的新興創業公司都紛紛跟了一波XDR的浪潮。是概念還是方向，是曇花一現還是任重道遠？本文今天就此簡單探討一二。
一、XDR是個筐，什么都可以往里裝？
先說定義。Gartner給出的定義是，XDR is a SaaS-based, vendor-specific, security threat detection and incident response tool that natively integrates multiple security products into a cohesive security operations system that unifies all licensed security components.這意味著XDR是某一個特定供應商的整體檢測響應解決方案，可以將多個安全產品集成到一個統一的安全操作系統中，至少要包含“云-端-流量”的結構。簡單來說，如果想做好威脅檢測這件事，就得保證SIEM/SOC系統能看到更多的東西，同時也要看得更準。
然而實際情況是，如果想看得更多，就要接入更多的安全產品把各種日志數據收過來，結果就是每天幾十上百萬的告警，根本沒法看得準。如果想要看得準，那就要接入各種安全產品，比如NTA/NDR，從流量里發現威脅，以及EDR，從端點上發現威脅，還有UEBA、蜜罐、資產和攻擊面盤點等，統統都要用上，這就又出現了新問題，即使各家產品都非常OK，但在對網絡威脅的分析上仍然很難協同，尤其是在各家供應商在某些細分領域有競爭關系的時候。
XDR更像一種“破罐子破摔”，既然沒辦法和其他產品打通，那干脆全都一攬子自己做吧！產品線完善的大廠們開始竊喜：該有的模塊我都有，搞個XDR不就是手拿把掐的事兒，就算現在沒有，我也可以用錢解決，缺啥買啥不香嗎？有單點優勢的新型創業公司們自己已經開始私下偷偷開搞，有流量的盯著端點，有端點的盯著威脅狩獵，蜜罐起家的直接全都想要……一時間，XDR仿佛變成了一個筐，有關檢測和響應的產品/服務全都可以往里面裝。
二、XDR到底是啥？
事實果真如此嗎？脫離現象看本質，我們先要明確XDR為什么會被提出來。XDR出現，背后的需求就是單一安全的場景下，檢測與響應能力或多或少都會受到限制，安全事件的故事講不完整。就好比寫字樓里有一伙慣偷，流量檢測只能通過他們的行進路線來判斷他們是壞人，端點檢測則會清楚記錄他們在每一間辦公室里做了什么，而這兩個場景之間的聯系卻沒辦法建立起來——單個場景中低風險的告警需要聚合起來，才能成為一個完整的、高風險的攻擊事件，而這是單個檢測產品無法做到的，因此才會產生檢測與響應的盲區。
因此，XDR系統的主要功能應該包括以下幾點：
1.把現有的安全產品全都集成起來。
2.在中央存儲庫中對數據進行集中和規范化處理和存儲，最好是基于SaaS化的，以進行分析和查詢。
3.在協同了其他安全產品的基礎上，提高檢測準確率。
4.一鍵處置響應，快速關閉相應攻擊點。
一言以蔽之，XDR要統一多個安全場景，一鍵處置攻擊事件，并且也能將攻擊事件的來龍去脈述說得清楚明白。所以在這個基礎上，能夠輔助講故事的模塊都是好模塊。XDR更像是一種需要長期規劃的解決方案，要往筐里裝什么全看各家廠商八仙過海。目前典型的整合手法比如市值非常高的CrowdStrike收購日志管理平臺Humio，指名道姓要補足自己XDR能力；跨領域補足自己模塊的比如微步在線，剛拿了E輪5億人民幣，還發了新品OneEDR，結合他們此前的流量檢測產品TDP，也打算要走XDR的路線了。國內想或者已經在做XDR的還有未來智安和亞信安全，一個是初創的A輪公司，一個是遞交申請掛牌科創板的老牌安全公司，由此也能看出，XDR無論在國際還是國內，都將成為大廠小廠同臺競技的新領域。
三、XDR可能有哪些搞法，關鍵技能和需要注意的點是什么？
前面說到XDR的底配版就是要滿足“云+端+流量”，除去端點和流量以外，企業的資產和攻擊面盤點也非常重要，網關、郵件、防火墻、DNS解析、用戶行為分析等產品都需要接入，要么自己具備，要么API化打通。理論上講，XDR產品需要和SIEM/SOC深度結合，來提高整體威脅的檢出和處置能力，而一部分XDR可以作為SIEM/SOC的平價替代品，當企業組織沒有精力/人員/預算去搞一套SIEM/SOC時，選一家好的供應商來一套XDR可能也是不錯的選擇。
目前Gartner在《Innovation Insight for Extended Detection and Response》報告中列出來的供應商名單還僅限于大廠們，如思科、趨勢、McAfee、微軟、賽門鐵克、Palo Alto Networks等，也有像CrowdStrike、Rapid7這類從某一個產品起家、躋身于世界上最優秀安全公司行列的企業。對這些大廠們來說，實現XDR的愿景或許會更容易一些，但XDR對產品仍然會存在一些要求。
第一，產品需要足夠開放，各個產品API化的程度要高，并且因為XDR要處理來自四面八方的日志，這就要求產品在交換數據時更加順暢，對網絡帶寬和計算資源的占比要小，處理能力要高，簡而言之就是要“絲滑”。
第二，目前來看XDR產品大的趨勢都是兩條腿走路，要想檢測做得好，威脅情報和機器學習能力都少不了，這倆一個負責知彼，一個負責知己。云端威脅情報需要做到量大、高準確度、高頻率更新，機器學習則是要通過動態建模來幫助企業建立自己的檢測響應體系，包括企業自身的威脅情報庫、企業的誤報告警特征等。這兩條腿一個都不能少，不過理論上來說，威脅情報做得好的廠商一般在機器學習領域都有著豐厚的積累成果，而威脅情報也正是準確檢測的核心能力，所以威脅情報能力出眾的廠商會在邁向XDR的時候具備先天優勢，這也能從Gartner列出的名單上窺見一二，這份名單可以說絕大部分重合了Gartner的《全球威脅情報市場指南》可信供應商列表。
第三，大廠推出自己XDR解決方案的時候容易陷入“你們就是想讓我買全家桶”的困境中，各條產品線能力的參差不齊會很影響XDR的效果以及客戶滿意度；而小廠、新興公司的XDR解決方案往往又會缺不少東西，畢竟是從單點起家，想變成多面手也需要歷經風雨才能見到彩虹。所以XDR能否作為一種戰略持續在一家安全公司中推行下去，還是非常考驗產品的梳理和研發迭代能力的。
說了這么多，理想的XDR會是什么樣？可能安全運維人員關注最多的就是首頁的風險模塊，以一個又一個攻擊事件為維度，展現出企業內部目前存在著多少網絡威脅，低級的威脅已經被自動化處置和溯源，中高級的風險則需要安全運維人員或分析師介入，而這背后則是通過收集網關、DNS解析、郵件、蜜罐、流量、終端等等各種地方的數據，盡可能窮盡了企業的服務器、端口、IP域名、應用組件、進程等可能遭受攻擊的資產，同時威脅情報和機器學習不斷地運作，才能呈現出這樣的結果。不過肉眼可見的是，想達到這樣的境界，不管是大廠小廠還都有長路要走，畢竟產品的堆棧不是一切，XDR好不好用，還是誤報率和漏報率說了算。
