MDR (Managed Detection and Response)

MDR (Managed Detection and Response) to usługa, w której zewnętrzny dostawca w imieniu klienta monitoruje jego systemy, bada alerty i reaguje na incydenty. W polskich tekstach spotyka się opisowe określenie „zarządzane wykrywanie i reagowanie” ^[3]. Przykładowo Microsoft opisuje swoją usługę tej klasy tak: analitycy dostawcy zarządzają kolejką incydentów klienta przez całą dobę, prowadzą triaż (triage) i badanie incydentów, a następnie sami podejmują działania albo prowadzą zespół klienta przez reakcję ^[1]. MDR łączy więc narzędzia wykrywania, takie jak EDR (Endpoint Detection and Response) i XDR (Extended Detection and Response), z pracą ludzi, którzy je obsługują.

Jak działa

Klient instaluje u siebie narzędzia zbierające dane, najczęściej agenty EDR na komputerach i serwerach, czasem też SIEM (Security Information and Event Management). Dane i alerty trafiają do dostawcy. Jego analitycy odsiewają fałszywe alarmy, badają zdarzenia i decydują o reakcji. Przebieg pokazuje schemat poniżej.

RYS. 1Obsługa alertu w usłudze MDR

Zakres działań dostawcy zależy od umowy. W opisie Microsoftu usługa obejmuje zarządzanie kolejką incydentów, proaktywne polowanie na zagrożenia (threat hunting), raporty na żywo i okresowe spotkania z klientem ^[1]. Microsoft podkreśla, że usługa uzupełnia centrum SOC (Security Operations Center) klienta, a nie je zastępuje ^[1]. W wyższym wariancie dostawca tworzy też reguły analityczne i playbooki SOAR (Security Orchestration, Automation and Response) ^[1].

Podział odpowiedzialności

NIST wyróżnia trzy sposoby obsadzenia roli osób obsługujących incydenty: własny personel, personel kontraktowy, na przykład SOC zlecony dostawcy usług bezpieczeństwa (MSSP), oraz pomoc dostępna na żądanie ^[2]. Wiele organizacji łączy te podejścia, na przykład samodzielnie prowadzi podstawowe reagowanie, a przy części incydentów korzysta z pomocy z zewnątrz ^[2]. MDR jest odmianą drugiego modelu.

NIST opisuje zlecanie reagowania na zewnątrz jako model współdzielonej odpowiedzialności, w którym organizacja przekazuje część obowiązków dostawcy ^[2]. Obowiązki te powinny być jasno określone w umowie, a zespół klienta powinien znać podział ról, przepływ informacji i zakres upoważnienia dostawcy do działania w imieniu organizacji ^[2]. Umowa określa też, czego dostawcy robić nie wolno, na przykład czy może od razu wyłączyć usługę, żeby opanować incydent ^[2].

Granice usługi warto znać równie dobrze jak jej zakres. Przykład z dokumentacji Microsoftu ^[1]:

Ostatni wiersz jest ważny: MDR nie zawsze oznacza pełne reagowanie na incydenty. W opisanej usłudze obsługa aktywnego przejęcia jest oferowana oddzielnie ^[1].

Znaczenie

MDR odpowiada na brak ludzi, a nie narzędzi. Kapitan Hack wskazuje, że usługi MDR dają firmom całodobową profilaktykę, wykrywanie i naprawę ^[3], czego wewnętrzni administratorzy zwykle nie są w stanie zapewnić. Ten sam serwis zauważa, że pełne utrzymanie zespołów SOC, MDR czy pierwszej linii reagowania wewnątrz firmy może być kosztowne i niewydajne ^[4]. Kapitan Hack opisuje rosnącą popularność modeli hybrydowych, w których kluczowe funkcje bezpieczeństwa zleca się zewnętrznym dostawcom. Pozwala to uniknąć kosztów zatrudniania i szkolenia własnego personelu oraz budowy rozbudowanej infrastruktury narzędziowej, a usługi rozliczać według faktycznego użycia ^[4]. Niebezpiecznik wymienia MDR obok EDR i XDR jako jeden z typów systemów monitorowania ^[5].

Warto odróżnić te pojęcia. EDR i XDR to narzędzia: zbierają dane i generują alerty. MDR to usługa: ktoś inny obsługuje te narzędzia i odpowiada na ich alerty. Sama licencja na EDR nie zapewnia nikogo, kto w nocy zareaguje na alert; tę lukę w firmach bez własnego SOC wypełnia właśnie usługa MDR.

Dostawca obsługujący wielu klientów ma też przewagę widoku. NIST zauważa, że usługodawca może wykryć złośliwą aktywność szybciej niż pojedyncza organizacja, bo koreluje zdarzenia u wszystkich klientów, i może wykorzystać wiedzę z incydentu u jednego klienta, żeby zapobiec podobnym u innych ^[2].

Ryzyka

Dostawca MDR zwykle ma uprzywilejowany dostęp do systemów klienta i czasem do jego wrażliwych danych ^[2]. NIST zaleca uwzględnić ryzyko nieuczciwego pracownika dostawcy, czyli insidera, oraz ryzyko przejęcia samego dostawcy ^[2]. Jako środki wymienia umowy o zachowaniu poufności i odpowiednie klauzule umowne ^[2]. Wybór dostawcy należy więc do zarządzania ryzykiem dostawców (TPRM), a gdy dostawca ma wgląd w dane osobowe, potrzebna jest też umowa powierzenia przetwarzania danych osobowych.

W WordPressie

Usługi MDR są projektowane głównie dla sieci firmowych: komputerów pracowników, serwerów i chmury. Pojedyncza strona na WordPressie korzysta z nich zwykle pośrednio, gdy strona stoi na serwerze objętym monitorowaniem albo gdy firma ma MDR dla całej infrastruktury.

Dwie obserwacje z dokumentacji WordPress.org pokazują, dlaczego zakres usługi ma znaczenie także dla stron. Po pierwsze, źródłem włamania bywa komputer właściciela strony: trojan przechwytuje dane logowania do FTP i wp-admin ^[6]. Monitorowanie stacji roboczych przez MDR może więc chronić stronę, choć jej samej nie obejmuje. Po drugie, na hostingu współdzielonym włamanie może dotknąć więcej niż jednej strony, a dostawca hostingu może sam podejmować działania ^[6]. Właściciel strony powinien wiedzieć, kto w takim układzie ma prawo zablokować stronę, zmienić hasła i odtworzyć kopię zapasową. Tego samego wymaga NIST od każdego podziału odpowiedzialności z usługodawcą ^[2].