什么是托管检测与响应（MDR）？

托管检测与响应（MDR）服务是由第三方提供商为客户组织管理的一系列基于网络、主机和端点的网络安全技术集合。提供商通常在客户组织内部部署技术，并提供额外的外部和自动化威胁狩猎服务。

MDR系统通过搜索威胁并在检测到后响应来提升网络安全。它们还允许用户与提供商的安全专家联系，这些专家可以增强客户公司IT部门的安全技能。这使得MDR非常适合没有专门内部威胁检测团队的企业。

MDR服务日益流行，部分原因是网络安全技能缺口的扩大。Gartner预测，到2025年，50%的企业将采用MDR服务。

MDR如何工作？

MDR持续监控组织的网络、端点和系统。为了识别潜在安全事件，MDR团队结合使用自动化、机器学习和人类专业知识（如威胁猎人和安全专业人员）。他们还使用高级安全和管理服务，如安全信息与事件管理（SIEM）和扩展检测与响应（XDR）。

当检测到威胁时，第一步是分析它以确定是否为误报。如果威胁是真实的，MDR团队评估其严重级别。然后，团队努力防止或防御攻击，提供安全控制或自动隔离受感染的端点。最后，团队发布事件报告，包括修复步骤、流程和指导，以防止后续攻击。

MDR的类型有哪些？

MDR服务的不同变体根据组织需求提供定制方法。主要有三种MDR变体：

托管端点检测与响应（MEDR）：监控和保护端点，如笔记本电脑、移动设备和服务器。它提供对端点活动的深度可见性，以在攻击扩散到网络之前检测和阻止它们。
托管网络检测与响应（MNDR）：检查网络流量和通信模式，以检测组织基础设施中的威胁。这种方法非常适合识别网络特定威胁，如受感染网络内的横向移动。
托管扩展检测与响应（MXDR）：是MDR的高级形式，集成多个安全层，包括端点、网络和云安全。MXDR使用来自多个来源的数据，如SIEM、安全控制和遥测。

MDR产品的常见功能

MDR系统相对较新。每家公司提供不同的MDR服务。提供商通常专注于基于网络、端点或日志的技术。基于网络的MDR平台专注于防火墙中的威胁，而基于端点的产品与反恶意软件软件配合使用。

无论服务在哪个级别工作，它都会整合来自多种技术的报告以执行以下功能：

威胁检测：安全运营中心（SOC）持续监控数据并优先处理警报进行分析。
威胁分析：SOC人员专注于潜在威胁，确定威胁的来源和范围。
威胁响应：提供商通知客户事件，并提供分析建议以解决问题。
事件分类：MDR服务根据关键性对安全事件进行分类和优先处理——通过考虑各种因素，创建安全事件列表，确保最关键的事件得到立即关注。

响应能力是提供商之间差异最大的地方。每个提供商决定他们的工作何时结束，客户何时接手问题。一些提供商可能还会提供额外付费功能，如现场专家咨询和额外的现场硬件。

MDR的好处

MDR服务在改善企业信息安全策略方面发挥积极作用。它们处理威胁检测、事件响应、持续监控和IT资产分析。

MDR服务缓解IT部门面临的常见问题，并提供以下好处：

管理高警报量：MDR服务可以帮助公司管理必须单独检查的大量网络安全警报。过多的误报警报可能导致较小安全团队出现警报疲劳，导致他们忽视其他职责。
威胁分析：许多警报不会立即表现为威胁，需要彻底分析以确定其状态。MDR服务提供高级分析工具、威胁情报和访问安全专家以解释事件并提供改进建议。
访问安全专业知识：在ISC2的2023年“网络安全劳动力研究”中，67%的参与者表示他们的组织缺乏检测和解决安全问题的必要人员。此外，92%的受访者表示他们的组织存在技能缺口，其中云计算安全、人工智能、机器学习和零信任采用是最普遍的。MDR服务可以通过提供专家访问来帮助缩小技能缺口，这些专家通常24/7工作以监控网络，并可供咨询。
端点检测与响应：企业可能缺乏资金、时间或技能来培训员工使用EDR工具。MDR服务附带EDR工具，并将它们集成到检测、分析和响应流程中，消除了广泛内部端点安全的需求。
全天候监控：MDR供应商通过为客户网络提供不间断的保护和监控来保证持续监视和威胁检测。
主动威胁狩猎：组织的安全堆栈不能总是检测到每个安全事件。然而，大多数MDR提供商会主动扫描客户的网络和系统以寻找主动攻击的迹象，并在识别时采取迅速行动。
快速事件响应：MDR服务提供对高级威胁和安全事件的快速响应时间。安全团队迅速检测异常活动，一致识别网络威胁，并采取及时行动来缓解它们。
云威胁监控：MDR服务通常涉及监控和保护云环境。这对于依赖云基础设施的组织很有价值，确保跨多个平台的全面云安全覆盖。
定制安全规则和服务：MDR服务提供根据组织独特需求定制的个性化安全规则。这种适应性支持定制的威胁检测和响应策略。

MDR的挑战是什么？

与许多外包IT流程的“一切即服务”模型一样，客户用控制换取便利和灵活的价格。与较旧的托管安全产品和客户对服务的预期用途相比，MDR服务有一些缺点。

MDR服务的常见挑战包括：

复杂部署：部署MDR可能很困难，尤其是对于具有广泛IT环境的企业。将MDR工具和技术集成到现有系统和流程中涉及严格的规划和协调。
成本考虑：MDR服务可能带来财务挑战，尤其是对于预算紧张的中小型组织。评估和证明外包MDR服务的成本很重要。
与现有安全基础设施集成：为确保MDR服务的有效性，组织的当前安全态势应与之无缝集成。这包括网络监控工具、端点保护程序和SIEM系统。然而，确保一致的兼容性和集成可能具有挑战性。
不断演变的威胁 landscape：威胁 landscape 不断演变，新的网络攻击和恶意软件变体定期出现。MDR服务提供商必须跟上最新的网络安全威胁，并持续更新其检测和响应能力以应对威胁。
不足的响应：并非所有MDR提供商都相同。虽然一些在查找和管理威胁方面一丝不苟，但其他可能不那么警惕。例如，一些服务可能只在安全事件后触发通用警报——“您的防火墙上有严重警报，您应进一步调查”。使用这些服务的企业必须自己进行更多的故障排除和修复。

MDR与经典托管安全

MDR和经典托管安全服务都为客户提供外部网络安全援助，但存在一些关键差异。经典托管安全服务供应商——有时称为托管安全服务提供商（MSSP）——主要专注于监控和管理安全工具，如防火墙和SIEM系统。然而，MSSP不提供与MDR服务相同级别的直接威胁检测，也不提供事件响应。

MDR提供商超越MSSP的监控能力，使用机器学习、自动化和专家分析来检测和响应威胁。许多MDR服务可以与组织的MSSP集成。

MDR服务与传统托管安全服务之间的其他差异包括：

合规性：经典托管安全服务供应商通常更专注于合规性报告和帮助企业满足合规要求。MDR服务很少关注这一点。
日志格式：MSSP通常可以处理更广泛的事件日志和上下文。MDR提供商主要使用其工具附带的日志。
人类互动：MSSP通过在线门户和电子邮件处理与提供商的任何通信。MDR提供商拥有专家团队或SOC，可以通过多个渠道实时联系。
检测方法：由于MDR提供商提供人类专业知识，他们可以对警报应用更深入的分析并检测新威胁。MSSP较少参与分析，更专注于使用基于规则的系统处理已知和频繁发生的威胁。
网络可见性：MDR提供商可以检测客户端网络内的事件和移动，而MSSP主要关注网络边界。
资源分配：MDR受益于偏好不内部处理安全而是使用MDR服务的公司。然而，经典托管安全通常需要雇佣安全团队和管理SOC。
通知：通知在MDR中被过滤，节省团队处理误报的时间。相反，MSSP为每个安全事件发送通知，无论其性质如何。
监控：MDR提供全天候监控和网络安全解决方案，提供持续监视。MSSP通常提供更受限的监控服务。
技术类型：MSSP擅长管理基础安全技术，如防火墙，并执行日常安全任务。MDR工具是更专业的服务，旨在处理复杂的现代网络及其呈现的新漏洞。

每种选项都有优点和缺点。公司可以同时使用MDR和经典托管安全服务以最大化好处。根据Gartner，Secureworks、Tata Communications和Trustwave是三家高度评价的MSSP提供商。

MDR vs. EDR vs. XDR

EDR和XDR是两种不同的威胁检测服务，经常与MDR服务比较和集成。EDR专注于提供对端点活动的深度可见性并保护端点。它是MDR和MEDR的关键组成部分，但不提供与MDR相同的跨网络和其他攻击面的覆盖范围。

XDR通过集成跨多个环境（包括网络、云和端点层）的安全数据扩展了端点保护。MXDR服务添加持续监控和专家威胁响应以构建在XDR之上。

MDR vs. SIEM

SIEM是另一种可以与MDR结合使用的 distinct 服务。它收集和分析来自日志和事件等来源的安全数据。虽然这有助于提供对潜在安全事件的洞察，但SIEM系统不响应这些威胁。

另一方面，MDR服务主动监控并实时响应威胁。它们通常使用SIEM数据进行威胁检测，以及专家分析和自动化威胁缓解。

如何选择MDR服务

选择提供商时，客户应考虑以下因素：

组织规模：寻找MDR提供商时，组织规模很重要。例如，较大的组织可能具有更复杂的网络和更高的安全事件量。因此，它们应寻找能够迅速扩展、检测和响应事件的MDR提供商。
技能和能力水平：选择在网络安全方面具有经验和知识的提供商至关重要。客户还应寻找提供入职援助和客户成功服务的公司。
技术和工具：MDR提供商使用的技术类型是一个重要因素，以及它如何与最新安全工具保持同步。MDR提供商使用的安全工具类型提供了对其能力和竞争力的洞察。
遵守合规性：通过理解和验证MDR提供商遵守的合规法规，组织可以做出明智决策，减少监管风险，并确保所选提供商符合其行业和地理位置的特定要求。
透明沟通：有效的沟通在客户-MDR提供商互动中至关重要。客户应询问提供商在常规操作和事件响应期间的沟通渠道和协议。沟通中的透明度也很重要，因为提供商应能够解释MDR服务的步骤并提供安全措施进展的更新。
安全结果：组织应确保MDR服务与其特定目标一致，如缓解网络安全风险和改善整体网络安全。
攻击面覆盖：组织应确保服务覆盖所有潜在攻击面，包括端点、网络和云工作负载。
提供商的专业知识：最好的MDR提供商雇佣经验丰富的威胁猎人，全面了解勒索软件、新兴威胁和扩展检测。
集成：组织应确保MDR服务可以与其现有系统平滑集成，并且数据在共享系统之间集成。
自动化：组织应寻找具有高度自动化的服务，以实现更快的威胁检测和响应时间。
服务定制：服务应足够灵活以满足组织的需求，如适应客户安全要求或与SIEM系统集成。

一个精心设计的MDR系统可以为任何组织提供众多好处。了解如何选择正确的MDR服务以及从MDR提供商那里期望什么。