XDR 正夯，它與 SIEM 及所謂的「平台」又有何不同?

作者：Greg Young (趨勢科技網路資安副總裁)

在趨勢科技部落格這篇文章中對於端點偵測及回應 (EDR) 如何邁向全面偵測及回應(XDR) 有相當詳盡的闡述。簡單來說，作者 Jon Clay 認為 EDR 固然很棒，但若有辦法加入端點以外的資訊來源，那應該會更好。「 XDR 」一詞中的「X」泛指為了提供更廣泛、更可靠的偵測及回應所能涵蓋的所有來源。

這就是XDR與 EDR 截然不同之處。

聽到這裡，很多人的第一個反應可能是：「這聽起來怎麼跟資安事件管理系統 (SIEM) 以及平台很像，因為同樣都是將眾多來源的資訊集中彙整」。在此請容我稍微解釋一下兩者之間的差異，以及為何這些差異會帶來巨大、真實且實際的影響。

我們先從 SIEM 來看。很多人都會苛責 SIEM，但考慮到人們對它的要求，其實 SIEM 已經很棒。將數十種甚至數百種廠商的產品記錄檔蒐集在一起，然後試圖從中發掘資安線索，進而發出有意義的警示通知。不過 SIEM 的問題是涵蓋範圍很廣，但卻深度不足。它的資訊來源很多，但蒐集的資訊卻很有限。

SIEM 無法迫使特定類型的產品 (如端點防護平台) 提供超出通用、標準格式以外的進一步資訊。當端點防護平台新增了一些獨家的偵查能力時，SIEM 能妥善運用這些最新資料來源的情況和能力都相當有限。很重要的原因是，SIEM 並未內建回應機制，它只是一項偵測工具，如同一個未與自動灑水器相連的消防警報器。不過，SIEM 可涵蓋的產品與廠牌非常廣泛，因此 SIEM 不管在當下或未來都其自己的價值定位，無法被 XDR 所取代。其實，SIEM 若能搭配 XDR 來運用，會更彰顯其價值。

下圖是我心目中的 SIEM：

其次，有些廠商的產品涵蓋了眾多領域，這些廠商理論上應該能提供比 SIEM 更豐富的資訊交換與關聯能力，並加入回應功能。但這不就是所謂的「平台」嗎？那 XDR 與平台又有何差異？其實，差異在就於：平台沒有辦法達到我們想要的，原因有幾點，但最重要的原因在於平台缺乏了獨立的資料蒐集單元與資料湖泊 (data lake)。

多年來，我一直在倡導資料穀倉 (data silo) 之間需要一些整合的橋梁，但至今情況仍未有太大改變。不同資安元素之間確實有些訊號連結，而各元素的主控台也內建了分析功能，但仍舊太過薄弱，主要原因有二：第一，這些主控台都是針對企業內的特定角色而設計 (例如，端點防護平台是針對端點資安管理員)；第二，由於是針對特定角色設計，因此其整合能力無法全面涵蓋整個企業。

我的意思是：若端點防護平台 (EPP) 從入侵防護 (IPS) 匯入了一些資訊，這些資訊也是對於 EPP 的分析師有用而已。但如果能將分析結果提供給資料中心的資安分析師，讓他們與雲端工作負載防護的資訊結合，進而發掘並攔截駭客在企業內橫向擴散的活動，是不是對企業更有幫助？平台就是少了這個超級無敵的中央資料湖泊，因此其資料蒐集所帶來的效益仍舊侷限於個別穀倉。平台除了在資料蒐集方面受到侷限之外，其回應能力也僅限於產品本身，例如：從 EPP 主控台匯入 IPS 的資料只為了給 EPP 使用。任何比 SIEM 更深入的整合，仍需花費大量的時間，由人員在平台之外進行客製化整合。平台對資訊的掌握深度已經勝過 SIEM，但仍受限於個別穀倉：

XDR 是一種更為強大的平台整合橋梁，同時更導入新的元素：資料湖泊，來打破資料穀倉之間的藩籬。此外，其蒐集的資料亦不限於特定角色的範疇。它並非以角色為中心，而是以攻擊為中心。人員會因為角色的關係而產生盲點，而且駭客深知這點。所以 XDR 不僅提供彈性，更能以前所未見的全新方式瞬間處理豐富、深入的資安資料。由於它採用了專為非結構化、非預期性查詢而設計的集中資料儲藏庫，因此在面對新式攻擊時更能輕鬆自如。再配上成熟的進階機器學習與持續精進的人工智慧，就能從源頭端提升警示的品質，而非遷就於品質不佳的警示資料。

以下是我心目中的 XDR ：