Сравнение сервисов Managed Detection and Response (MDR)

На основании набора из 190 критериев сопоставлены сервисы по обнаружению угроз информационной безопасности, реагированию на них и расследованию киберинцидентов (Managed Detection and Response - MDR), предлагаемые российскими производителями средств защиты. В сравнении участвуют Group-IB Managed Detection and Response Services, Kaspersky Managed Detection and Response и Positive Technologies Expert Security Center. Приведённые данные помогут заказчикам сориентироваться в различиях вендорских услуг MDR и коммерческих  SOC, выбрав наиболее подходящий вариант.

 

 

 

1. Введение
2. Методология сравнения сервисов Managed Detection and Response
3. Сравнение сервисов Managed Detection and Response
1. 3.1. Общие сведения
2. 3.2. Тестовый период
3. 3.3. Личный кабинет (клиентский портал)
4. 3.4. Основные сервисы вендорского MDR
5. 3.5. Дополнительные вендорские сервисы
6. 3.6. Детектирующие технологии (Detect)
7. 3.7. Технологии реагирования (Response)
8. 3.8. Технологии расследования (Investigation)
9. 3.9. Интеграция со сторонними решениями
10. 3.10. Особенности подключения сервиса вендорского MDR
11. 3.11. Программы обучения специалистов заказчика
12. 3.12. Персонал вендорского MDR
13. 3.13. Гарантии качества (SLA)
14. 3.14. Система оповещения и отчётность (для детектирования, анализа и реагирования)
15. 3.15. Режим работы и техническая поддержка
16. 3.16. Ценовая политика
4. Выводы

 

Введение

В третьей части сравнения сервисов, так или иначе связанных с реагированием на угрозы безопасности и расследованием киберинцидентов в России, мы частично отошли в сторону от SOC. Изучению подверглись крупные вендоры, логичным развитием бизнеса для которых стало предоставление сервиса Managed Detection and Response (обнаружение киберугроз и реагирование на них; далее мы будем использовать аббревиатуру MDR). Отличительной чертой здесь является нативная интеграция с линейкой своих продуктов при необязательности требования подключать сторонние. Такие вендорские сервисы являются реальной альтернативой услугам коммерческих SOC и часто воспринимаются на рынке как конкурентные предложения.

При подготовке материала мы изначально рассчитывали включить в сравнение не только отечественных сервис-провайдеров, но и зарубежных (Cisco, Symantec, Trend Micro). Однако в процессе плотного общения с вендорами оказалось, что иностранцы если и готовы оказывать услуги коммерческого SOC (и тем более — MDR) в России, то крайне ограниченному кругу заказчиков. Это связано с рядом сложностей. Во-первых, для оказания услуг по мониторингу инцидентов нужна лицензия ФСТЭК России на ТЗКИ (деятельность по технической защите информации), оформленная на российское юридическое лицо. Во-вторых, центр мониторинга и реагирования должен располагаться на территории Российской Федерации, а также быть аттестованным и иметь в своём составе сертифицированные средства защиты информации. В итоге предоставление услуг SOC или MDR зарубежными компаниями в России выглядит малореалистичным, особенно если учитывать ещё и сложившуюся геополитическую обстановку.

Большинство вендорских сервисов MDR развивалось на базе собственных технологий и решений, благодаря чему достигается естественная синергия. Централизованная система управления (а иногда — и отдельные продукты) выносится в облако поставщика, а клиенту предоставляется интерфейс для мониторинга ситуации или управления. Как правило, производители в данном случае готовы брать на себя рутину администрирования конкретных средств защиты, предлагая клиенту ориентироваться на контрольные панели (дашборды) или вовсе предоставляя периодические отчёты. Такой подход имеет свои преимущества. Во-первых, вендор наиболее компетентен в применении собственных решений, поэтому готов отвечать за сервисы на их базе. Во-вторых, это позволяет не распылять усилия и не гнаться за интеграцией всего «зоопарка» продуктов ИБ, чтобы удовлетворить потребности клиентов в подключении «очередной сотни» источников событий. В-третьих, наличие у разработчика услуг по обеспечению кибербезопасности на базе собственных решений говорит о его зрелости на рынке. В его портфеле обязательно присутствует хотя бы один сложный комплексный продукт (как правило, решение класса anti-APT). Кроме того, он может себе позволить растить и поддерживать сервисные компетенции, что формирует определённый уровень доверия и к продуктам, и к услугам. Таким образом, основное отличие от SOC здесь состоит в концентрации на глубине и инструментах исследования угрозы, а не на широте работы с большим количеством инцидентов.

Чтобы сфокусировать внимание читателей на сервисах и их содержании, мы предлагаем в данном случае не относить компании-производители исключительно к одной категории: SOC, MSSP, CERT, CSIRT и прочим. С учётом этой оговорки будем использовать выражение «услуги MDR от производителей средств защиты» (или сокращение «вендорский MDR») как наиболее подходящее по смыслу.

Ключевые отличия сервисов Managed Detection and Response:

• как правило, обязательное применение собственных продуктов;
• активное использование проактивного обнаружения угроз (Threat Hunting);
• собственная киберразведка (Threat Intelligence, пополняемая база знаний об угрозах);
• активное реагирование на инциденты безопасности (как правило, с помощью собственных решений);
• использование специфических типов событий для детектирования атак;
• требование анализа телеметрии с сети и конечной точки;
• глубокие и редкие знания специалистов (часто — разработчиков) в весьма нишевых областях.

 

Методология сравнения сервисов Managed Detection and Response

При разработке методологии сравнения мы исходили из реальной практики оказания услуг вендорского MDR отечественными поставщиками. Относительно предыдущих сравнений услуг коммерческих SOC (часть 1 и часть 2) набор критериев был существенно переработан. Это позволило учесть специфику и сфокусироваться на отличительных особенностях вендорских сервисов. В то же время важно не только количество выбранных в рамках сравнения критериев, но и развёрнутые ответы по каждому из них, так как сравниваемые сервисы могут серьёзно различаться даже на этом уровне. Следуя данному принципу, мы сформировали набор из 190 критериев, сравнение по которому упростит выбор поставщиков. К некоторым из критериев были добавлены пояснения.

Для удобства все сравнительные критерии были разделены на следующие категории:

1. Общие сведения
2. Тестовый период
3. Личный кабинет (клиентский портал)
4. Основные сервисы
5. Дополнительные сервисы
6. Детектирующие технологии
7. Технологии реагирования
8. Технологии расследования
9. Интеграция со сторонними решениями
10. Особенности подключения
11. Программы обучения специалистов заказчика
12. Персонал
13. Гарантии качества (SLA)
14. Система оповещения и отчётности
15. Режим работы и техническая поддержка
16. Ценовая политика

Для участия в сравнении мы отобрали три наиболее известных в России сервиса MDR, предоставляемых российскими разработчиками средств защиты:

• Group-IB Managed Detection and Response Services;
• Kaspersky Managed Detection and Response;
• Positive Technologies Expert Security Center.

Опасения относительно зарубежных вендоров были отражены во введении. Некоторые из иностранных провайдеров, увы, сразу же отказались от участия в сравнении, другие — высказали свои сомнения по поводу его целесообразности.

Все перечисленные выше поставщики активно участвовали в выработке списка критериев сравнения и помогали со сбором необходимой информации. В приведённом сравнении мы не делали их итогового ранжирования, надеясь, что, ознакомившись с представленными нами результатами сравнения, каждый читатель сможет самостоятельно решить, какая из систем наиболее подходит для его целей. Ведь в каждом конкретном случае заказчик сам определяет требования к технологиям или функциональным возможностям решения, а значит, сможет сделать из сравнения правильный именно для него вывод.

 

Сравнение сервисов Managed Detection and Response

Общие сведения

 

 Тестовый период

 

 

Личный кабинет (клиентский портал)

 

Основные сервисы вендорского MDR

 

Дополнительные вендорские сервисы

 

Детектирующие технологии (Detect)

 

Технологии реагирования (Response)

 

Технологии расследования (Investigation)

 

Интеграция со сторонними решениями

 

Особенности подключения сервиса вендорского MDR

 

Программы обучения специалистов заказчика

 

Персонал вендорского MDR

 

Гарантии качества (SLA)

 

Система оповещения и отчётность (для детектирования, анализа и реагирования)

 

Режим работы и техническая поддержка

 

Ценовая политика 

 

Выводы

Услуги мониторинга, реагирования на угрозы и расследования киберинцидентов в России набирают популярность. Этот факт подтверждается ростом количества клиентов не только коммерческих сервисов SOC, но и услуг Managed Detection and Response от производителей средств защиты, что порождает всё больше публичных историй успеха, в том числе — и с зарубежными заказчиками. Кроме того, заявленное время подключения услуги у всех поставщиков составляет считаные дни (у SOC, как правило, соответствующая операция осуществляется в течение месяца), что является не только поводом для гордости, но и индикатором серьёзного уровня зрелости отечественных вендоров. Однако далеко не все из них готовы предоставлять тестовый период или приглашать на клиентский визит. В отличие от SOC, где личный кабинет и определённая самостоятельность клиента являются ключевыми «фишками», не все вендорские MDR имеют общую консоль сервиса, отдавая управление конкретным средствам защиты.

Одно из самых «вкусных» преимуществ сервисов MDR от производителей средств защиты кроется в наборе сервисов. Всесторонний мониторинг киберпространства, максимальное количество знаний об угрозах и вредоносных объектах, техниках и тактиках атакующих, хакерских группировках — всё это имеется в различных вариациях в арсенале каждого участника сравнения. Полезным является также предоставление клиенту кратких и подробных отчётов, в том числе — бизнес-сводок для высшего руководства. Накопленные вендорами компетенции позволяют помимо классических пентестов и аудитов предлагать также нетривиальные услуги, такие как анализ надёжности кода приложений, аудит безопасности аппаратных решений, проверка защищённости банкоматов и POS-терминалов, промышленных технологий (АСУ ТП) и телеком-систем, защита блокчейн-проектов и ICO. Отдельные поставщики помогают и с задачами смежного профиля, вроде юридического сопровождения расследований, защиты бренда или управления уязвимостями у клиента. Кроме того, уникальными могут оказаться специализированные обучающие курсы по редким и важным темам: цифровая криминалистика, анализ вредоносных программ и обратная разработка (Reverse Engineering), реагирование на инциденты, написание комплексных правил, анализ инцидентов, проактивный поиск угроз (Threat Hunting), аналитика SOC и другие. Все представленные вендоры имеют собственные тренировочные центры.

В силу специфики того или иного поставщика в его портфеле могут отсутствовать некоторые классы решений, такие как EPP, UEBA, WAF, FW, IDS. Однако собственных технологий вендорского MDR, как правило, хватает для качественного детектирования угроз и реагирования на атаки, а «родная» интеграция позволяет максимально эффективно выполнять поставленные клиентом задачи. Отдельно стоит упомянуть SIEM-системы, которые в ряде случаев не представлены самостоятельными продуктами, но всё равно так или иначе являются неотъемлемой частью всех услуг вендорского MDR, пусть и в качестве собственных внутренних разработок. Технологии расследования инцидентов широко и качественно представлены всеми поставщиками. Они позволяют клиенту собрать все необходимые факты и наглядно представить их в отчётах согласно лучшим методикам, фреймворкам и практикам, в том числе — с визуализацией. Ожидаемо, что интеграция со сторонними решениями со стороны вендоров не является всеобъемлющей. При этом почти все готовы предоставлять собственные API, а также взаимодействовать с другими продуктами в рамках общепринятых стандартов (STIX, TAXII, OpenIOC, YARA, Sigma и т.п.).

Подключение сервиса MDR и развёртывание необходимых для него продуктов на площадке заказчика все вендоры осуществляют оперативно, способны за считаные дни индивидуализировать сценарии работы и правила корреляции, а также согласны хранить все важные клиентские данные локально, без передачи в облако. Отметим, впрочем, что не все участники сравнения готовы в принципе предоставлять такой сервис при полной изолированности площадки заказчика от внешних сетей.

Анализ особенностей персонала и технической поддержки MDR не выявил особенных отличий в сравнении с поставщиками SOC: такой же активный прогресс и наращивание компетенций — кроме, пожалуй, одного факта. Реализация довольно интересной и широко обсуждаемой сегодня концепции «центр мониторинга и реагирования без первой линии» (полностью заменяется применением автоматизации, технологиями машинного обучения) встретилась лишь у одного вендора.

Как и в случае с SOC, поставщики услуг MDR крайне неохотно раскрывают собственную ценовую политику и особенности лицензирования. Отдельная благодарность от редакции звучит в адрес «Лаборатории Касперского» за то, что коллеги согласились хотя бы подробно описать особенности формирования стоимости услуги (увы, без конкретных цен) и назвать тарифные планы. Бюджет, необходимый для выделения, клиенты смогут оценить исключительно по запросу.