מה זה שירות EDR מנוהל, ומה ההבדל בינו ל-MDR?

שירות EDR מנוהל הוא שירות שבו צוות חיצוני מנטר ומפעיל עבור הארגון את מערכת הזיהוי והתגובה בנקודות הקצה (EDR), והוא סוג של שירות זיהוי ותגובה מנוהל (MDR). לפי Bitdefender, MDR הוא שירות במיקור חוץ שבו פעולות אבטחת הסייבר מנוהלות בידי מומחים חיצוניים, שמספקים ניטור רציף וניהול איומים. אופק דיסט, חברת הפצה, ייעוץ ותמיכה בפתרונות אבטחת מידע, ענן ותקשורת, שפועלת מאז 2006 ומשרדיה בפתח תקווה, מפיצה בישראל את Bitdefender GravityZone. המאמר מסביר מה ההבדל בין השניים, מה כולל כל אחד, ואיך מחליטים.

בקצרה

• לפי Bitdefender, EDR מנטר ברציפות את הרשת ברמת נקודת הקצה כדי לחשוף פעילות חשודה, ושימוש יעיל בו דורש אנשי אבטחה ייעודיים.
• לפי Bitdefender, שירותי MDR משלבים טכנולוגיית EDR עם ניטור מסביב לשעון בידי ציידי איומים ואנליסטים חיצוניים מנוסים.
• לפי NCSC הבריטי, מתכננים יכולת ניטור אבטחה שמידתית לאיומים ולמשאבים הזמינים, ואין SOC אחד שמתאים לכולם.

מה זה EDR, ולמה הוא דורש צוות?

לפי Bitdefender, EDR (Endpoint Detection and Response) הוא פתרון אבטחת סייבר שמנטר ברציפות את הרשת ברמת נקודת הקצה כדי לחשוף פעילות חשודה, ובמקביל מספק את הכלים הדרושים להתגוננות מפני מתקפות סייבר. המערכת מייצרת התראות ונתוני חקירה, ומישהו צריך לקרוא אותם ולהחליט מה לעשות. לפי Bitdefender, שימוש יעיל בכלי EDR דורש אנשי אבטחה ייעודיים שיכולים לנתח התראות ולהגיב לאיומים.

לפי מדריך הכופרה של CISA, יש להשתמש ברשימות היתר ליישומים ו/או בפתרונות EDR בכל הנכסים. ארגון שמתקין EDR בלי מי שיפעיל אותו מקבל נתונים, אבל לא בהכרח תגובה בזמן. ארגון שאין לו צוות שיפעיל את ה-EDR יכול להשלים אותו בשירות מנוהל.

• EDR: לפי Bitdefender, מערכת שמנטרת נקודות קצה, חושפת פעילות חשודה ומספקת כלים להתגוננות. הארגון מפעיל אותה בעצמו.
• שירות EDR מנוהל, MDR: לפי Bitdefender, אותה טכנולוגיה, עם צוות חיצוני שמנטר מסביב לשעון.
• SOC: מרכז ניטור ותגובה (Security Operations Center), פנימי או של ספק השירות.

מה ההבדל בין שירות EDR מנוהל ל-MDR?

בפועל, שירות EDR מנוהל הוא MDR שמתבסס על מערכת EDR שצוות חיצוני מפעיל. שירותי MDR יכולים לנטר גם מקורות נוספים מעבר לנקודות הקצה, ולכן המונחים חופפים ברובם ולא זהים לגמרי. לפי Bitdefender, MDR הוא שירות במיקור חוץ שבו פעולות אבטחת הסייבר מנוהלות בידי מומחים חיצוניים, שמספקים ניטור רציף וניהול איומים באמצעות טכנולוגיות מתקדמות של זיהוי ותגובה.

לפי Bitdefender, ארגונים בלי צוות אבטחה יכולים להיעזר, למשל, בשירותי MDR, שמשלבים טכנולוגיית EDR עם ניטור מסביב לשעון בידי ציידי איומים ואנליסטים חיצוניים מנוסים.

ההבדל המעשי הוא בחלוקת האחריות. ב-EDR הארגון קונה את המערכת ומפעיל אותה, וב-MDR הוא משלם גם על המערכת וגם על הצוות החיצוני שמנטר אותה. לכן ההשוואה הנכונה היא בין MDR לבין EDR ועוד צוות פנימי, ולא בין MDR ל-EDR בלבד.

מה כולל שירות MDR של Bitdefender?

לפי Bitdefender, שירות Bitdefender MDR מספק הגנה 24×7 מפני איומי סייבר, דרך מרכזי ה-SOC הגלובליים של החברה. לפי Bitdefender, אנליסטי האבטחה של Bitdefender MDR מעריכים במהירות אירועי אבטחה ונוקטים פעולות נחרצות להכלת האיום ולצמצומו. לפי Bitdefender, מערך של פעולות מאושרות מראש (PAAs) מאפשר תגובה מהירה לצמצום אירועי אבטחה.

לפי Bitdefender, לאחר אירוע, שירות Bitdefender MDR מפעיל ניטור מוגבר למשך 72 שעות כדי לוודא שאירועים דומים או קשורים לא יחזרו, ופורטל ה-MDR מספק דיווח חודשי על השירות, שאפשר לפעול לפיו. הפעולות המאושרות מראש הן הנקודה שכדאי לבדוק בחוזה, כי הן קובעות מה הצוות החיצוני רשאי לעשות בלי לשאול.

מה נותן GravityZone EDR למי שמפעיל אותו בעצמו?

לפי Bitdefender, GravityZone EDR מאחד אוטומטית כמה אירועים לאירוע אחד, וכך מאיץ את התגובה ומייעל את תהליכי העבודה. לפי Bitdefender, תצוגה חזותית של האיומים מכוונת את החקירה ומגדילה את היכולת להגיב ישירות. לפי Bitdefender, GravityZone EDR מאפשר תגובה מהירה יותר לאירועים וניטור רציף, ותומך בציד איומים ובניתוח פורנזי.

אופק דיסט מפיצה בישראל את פלטפורמת Bitdefender GravityZone, שמאחדת הגנת קצה, זיהוי איומים ותגובה אוטומטית תחת מערכת אחת. אופק דיסט נותנת שירות ותמיכה בעברית, בשעון ישראל, בלי פנייה ליצרן בחו"ל.

אילו אפשרויות נוספות של EDR ו-MDR קיימות?

בפורטפוליו של אופק דיסט יש גם EDR ו-MDR של N-able. לפי N-able, N-able EDR מזהה פעילות חשודה לפי דפוסי התנהגות באמצעות AI, בולם ומנטרל איומים אוטומטית, ומאפשר להחזיר מכשירים נגועים לאחור כשכופרה פוגעת. לפי N-able, ל-N-able EDR נכנסים מלוח הבקרה של N-central או N-sight, ואפשר להוסיף שירותי אבטחה מנוהלים 24/7 שיפקחו על N-able EDR.

לפי N-able, שירות ה-MDR שלה (Adlumin MDR) מזהה, חוקר ועוצר איומים 24/7 בלי המורכבות של הקמת SOC עצמאי. לפי N-able, האנליסטים שלו מטפלים בהכלה ובתגובה הראשוניות לאיום, ומחפשים באופן יזום בנתונים איומים מתהווים. הבחירה בין הפתרונות תלויה בכלים שכבר יש בארגון. למשל, ארגון שספק ה-IT שלו עובד עם N-central או N-sight יכול להעדיף את N-able EDR, וארגון שכבר עובד עם GravityZone יכול להעדיף את Bitdefender.

איך מחליטים אם צריך שירות EDR מנוהל?

קודם כול בודקים אם יש בארגון מי שיקרא התראות גם בלילה ובסופי שבוע, ואם כן, EDR עם צוות פנימי יכול להספיק. לפי NCSC הבריטי, תפקידו של SOC הוא להגביל את הנזק לארגון באמצעות זיהוי ותגובה למתקפות סייבר. לפי NCSC הבריטי, מתכננים יכולת ניטור אבטחה שמידתית לאיומים ולמשאבים הזמינים, ואין SOC אחד שמתאים לכולם.

לפי מדריך הכופרה של CISA, מומלץ לשקול את נוהלי ניהול הסיכונים והיגיינת הסייבר של צדדים שלישיים או ספקי שירותים מנוהלים. בפועל, כשבוחרים שירות מנוהל, בודקים גם את הספק עצמו, ובפרט מה הוא רשאי לעשות, איך הוא מדווח ומי אחראי על מה באירוע.

סיכום

שירות EDR מנוהל הוא MDR שמתבסס על מערכת EDR שצוות חיצוני מנטר ומפעיל. אופק דיסט מפיצה בישראל את פלטפורמת Bitdefender GravityZone. לפי Bitdefender, שימוש יעיל ב-EDR דורש אנשי אבטחה ייעודיים, ו-MDR משלב את הטכנולוגיה עם ניטור מסביב לשעון בידי אנליסטים חיצוניים. לפי Bitdefender, Bitdefender MDR מספק הגנה 24×7 עם פעולות מאושרות מראש וניטור מוגבר של 72 שעות אחרי אירוע.

לתיאום ייעוץ, צוות אופק דיסט זמין בטלפון 073-22-00-123.

שאלות נפוצות על שירות EDR מנוהל