מה זה MDR? זיהוי ותגובה מנוהלים לעסק בלי צוות אבטחה

מה זה MDR? MDR, ראשי תיבות של Managed Detection and Response, הוא שירות שבו צוות חיצוני של מומחי אבטחה עוקב אחרי ההתראות ממערכות ההגנה של העסק, חוקר את מה שנראה חשוד ומגיב לאירועים בשבילכם. בעברית קוראים לו זיהוי ותגובה מנוהלים. זה אינו מוצר נוסף שמתקינים, אלא האנשים שמפעילים את המוצר. השירות נועד לעסק שיש לו מערכת הגנה טובה, ואין לו מי שיסתכל עליה.

המדריך הזה מסביר איזה פער השירות סוגר, מה הספק עושה ומה נשאר אצלכם, ומה כדאי לשאול לפני שמתחייבים. את ההשוואה המלאה בין סוגי המוצרים כבר פירטנו במדריך אנטי-וירוס, EDR או XDR: מה מתאים לעסק, ולכן לא נחזור עליה כאן.

הפער: התראות שאף אחד לא קורא

מערכות הגנה מודרניות טובות מאוד בזיהוי. הן מתעדות כל תהליך שרץ במחשב, כל חיבור רשת וכל שינוי בקבצים, ומסמנות את מה שנראה חריג. התוצאה היא התראות, ולפעמים הרבה התראות.

כאן מתחילה הבעיה של עסק קטן או בינוני. התראה היא שאלה ולא תשובה. היא אומרת, למשל, שתוכנת המשרד הפעילה פקודה שהורידה קובץ מהאינטרנט, ושואלת אם זה תקין. מישהו צריך לפתוח אותה, להבין אותה, להחליט אם זו מתקפה או עדכון תוכנה תמים, ואם זו מתקפה, לפעול מהר.

ברוב העסקים האדם הזה פשוט אינו קיים. יש איש מחשוב שעסוק במדפסות, בהרשאות ובמחשבים חדשים, או ספק חיצוני שמגיע פעם בשבוע. ההתראות מצטברות בלוח בקרה שאיש אינו פותח, או נשלחות לתיבת דוא"ל שאיש אינו קורא. אחרי כמה שבועות של התראות שווא מתרגלים להתעלם מכולן, ואז מפספסים גם את האמיתית.

יש גם עניין של שעות. מתקפה אינה מתחשבת בשעות הפעילות של המשרד. התראה שמחכה עד הבוקר, או עד תחילת השבוע, עלולה להיקרא כשהנזק כבר נעשה.

המסקנה אינה נעימה, אבל היא חשובה: מערכת זיהוי שאין מי שמתפעל אותה נותנת תחושת ביטחון, ולא ביטחון.

מה שירות MDR עושה בפועל

השירות מחליף את האדם החסר בצוות שזו כל עבודתו. העבודה מתחלקת לחמישה שלבים שחוזרים על עצמם.

1. ניטור. הצוות מקבל את ההתראות ואת נתוני הפעילות שהמערכת אוספת מהמחשבים ומהשרתים שלכם.
2. סינון. רוב ההתראות אינן מתקפות. אנליסט בודק כל אחת, פוסל את התמימות, ומשאיר את אלה שדורשות בדיקה. זה השלב שחוסך לכם את הרעש.
3. חקירה. כשמשהו נראה אמיתי, הצוות משחזר את הסיפור: מאיפה זה התחיל, אילו תהליכים הופעלו, באילו קבצים נגעו, והאם זה התפשט למחשבים אחרים.
4. תגובה. הצוות בולם את האירוע בכלים של המערכת: מבודד מחשב מהרשת, עוצר תהליך, מסיר קובץ זדוני. מה שהוא רשאי לעשות לבד ומה שדורש אישור שלכם נקבע מראש.
5. דיווח. אתם מקבלים הודעה על מה שקרה, מה נעשה ומה נדרש מכם, ובנוסף דוח תקופתי על מה שזוהה ועל מה שכדאי לשפר.

שימו לב למה שלא מופיע ברשימה: אתם לא צריכים ללמוד לקרוא התראות, ולא להחזיק מישהו שיודע לחקור אירוע אבטחה.

במה זה שונה מאנטי-וירוס ומ-EDR לבדו

שלושת המונחים מתארים דברים מסוגים שונים, ולכן קל להתבלבל ביניהם.

אנטי-וירוס הוא שכבת המניעה. הוא עוצר לבדו את מה שהוא מזהה כזדוני, ואינו דורש מכם כמעט דבר. זה הבסיס שכל עסק צריך, ואפשר לקבל אותו למשל דרך פתרונות ESET לעסק ולבית. מה שהוא אינו מזהה עובר בלי שתדעו על כך.

EDR הוא מערכת שמתעדת את הפעילות בתחנות הקצה, מזהה התנהגות חשודה ונותנת כלים לחקור ולהגיב. היא רואה הרבה יותר מאנטי-וירוס, אבל היא רק מתריעה ומציעה. את ההחלטה ואת הפעולה היא משאירה לאדם. הסבר יסודי יש במדריך מה זה EDR.

MDR אינו שכבה טכנולוגית שלישית. זה אותו EDR, או מערכת רחבה ממנו, יחד עם צוות שמפעיל אותו. הטכנולוגיה זהה. מה שמשתנה הוא מי יושב מול המסך.

EDR בניהול עצמי מול MDR

	EDR בניהול עצמי	MDR
מה מקבלים	מערכת וכלים	מערכת, וצוות שמפעיל אותה
מי קורא את ההתראות	אתם או איש המחשוב שלכם	אנליסטים של ספק השירות
מי מחליט אם זו מתקפה	אתם	הצוות, לפי נוהל שסוכם מראש
מי בולם את האירוע	אתם	הצוות, בגבולות ההרשאה שנתתם
מה נדרש אצלכם	אדם עם ניסיון בחקירת אירועי אבטחה	איש קשר שזמין ומוסמך להחליט
מחוץ לשעות העבודה	תלוי בזמינות שלכם	תלוי בשעות הפעילות שנקבעו בהסכם
ממה מורכבת העלות	רישוי המערכת, והזמן של מי שמתפעל אותה	רישוי המערכת ותשלום על השירות
למי מתאים	ארגון עם איש אבטחה או צוות IT מנוסה	עסק בלי צוות אבטחה משלו

מה נשאר באחריות שלכם

שירות מנוהל אינו פוטר את העסק מכל אחריות. יש דברים שרק אתם יכולים לעשות, וכדאי לדעת אותם מראש.

• כיסוי מלא. הצוות רואה רק מחשבים ושרתים שהסוכן מותקן עליהם. מחשב שנשאר בחוץ הוא נקודה עיוורת, ודרכה בדיוק נכנסים.
• איש קשר זמין. כשהצוות מזהה אירוע, הוא צריך מישהו שיענה ושמוסמך להחליט, למשל אם להשבית שרת באמצע יום עבודה.
• תיקון הסיבה. הצוות בולם את המתקפה ומסביר איך היא נכנסה. את הפרצה עצמה, כמו עדכון שלא הותקן, סיסמה חלשה או הרשאה מיותרת, סוגרים אתם או ספק ה-IT שלכם.
• יסודות האבטחה. עדכונים, אימות דו-שלבי, הרשאות מינימליות והקשחת שרתים. שירות זיהוי אינו תחליף להם, והם מפורטים במדריך אבטחת שרתים לעסקים קטנים.
• גיבוי. אם המתקפה הצליחה לפני שנבלמה, רק גיבוי תקין מחזיר את המידע.
• החלטות עסקיות. למי מודיעים, מה אומרים ללקוחות ומתי חוזרים לעבוד. הצוות מייעץ, וההחלטה שלכם.

דוגמה: אותו לילה, עם השירות ובלעדיו

נניח שמישהו מתחבר לשרת של העסק בשעת לילה מאוחרת, עם שם משתמש וסיסמה אמיתיים שנגנבו מעובד. הוא מריץ כלי שאוסף סיסמאות נוספות, ומתחיל לבדוק לאילו מחשבים אחרים אפשר להגיע.

בלי שירות מנוהל, מערכת ה-EDR מזהה את הכלי ויוצרת התראה. ההתראה נשלחת בדוא"ל לאיש המחשוב, שישן. עד שהוא פותח אותה בבוקר, לתוקף היו כמה שעות לעבוד בלי הפרעה.

עם שירות מנוהל שפעיל גם בשעות האלה, אנליסט רואה את ההתראה, מזהה שההתחברות הגיעה ממקור לא מוכר ושהכלי אינו חלק מהעבודה הרגילה, ומבודד את השרת מהרשת. אתם מקבלים הודעה עם מה שקרה, עם שם החשבון שנפרץ ועם ההנחיה להחליף את הסיסמה שלו.

בשני המקרים הטכנולוגיה זיהתה את אותו דבר. ההבדל הוא שבמקרה השני מישהו פעל. ואם מתקפה בכל זאת הגיעה לשלב ההצפנה, עוברים לצ'קליסט ההתאוששות ממתקפת כופרה.

מה כדאי לשאול ספק MDR

השירותים בשוק שונים מאוד זה מזה, גם כשהשם זהה. השאלות האלה עוזרות להבין מה באמת מקבלים.

1. באילו שעות הצוות פעיל, ומה קורה להתראה שמגיעה מחוץ להן?
2. מה הצוות רשאי לעשות בלי לשאול אתכם, ומה דורש אישור?
3. איך ומתי מודיעים לכם על אירוע: בטלפון, בהודעה או בדוא"ל, ולמי?
4. על איזו מערכת השירות נשען, ומה היא רואה: תחנות קצה ושרתים בלבד, או גם דוא"ל, זהויות ושירותי ענן?
5. איפה השירות נגמר: בזיהוי ובבלימה, או שהוא כולל גם סיוע בשחזור?
6. מה כולל הדוח התקופתי, והאם יש בו המלצות או רק רשימת אירועים?
7. איפה נשמרים הנתונים שנאספים מהמחשבים, לכמה זמן, ומי ניגש אליהם?
8. מה קורה אם מחליפים ספק: האם ההיסטוריה וההגדרות נשארות אצלכם?
9. מי איש הקשר שלכם, ובאיזו שפה מתנהלת התקשורת בזמן אירוע?

תשובה מעורפלת לאחת מהשאלות האלה היא מידע בפני עצמו.

למי השירות מתאים, ומתי אפשר בלעדיו

השירות מתאים במיוחד כשמתקיים אחד מהתנאים האלה:

• אין בעסק אדם שתפקידו לעבור על התראות אבטחה מדי יום.
• העסק מחזיק מידע רגיש של לקוחות, כמו משרדי רואי חשבון, עורכי דין ומרפאות.
• יש שרתים או שירותים שחשופים לאינטרנט.
• לקוח גדול או גוף מפקח דורש להראות שיש ניטור ותגובה מסודרים.
• איש המחשוב מוכשר, אבל עמוס, והאבטחה תמיד נדחית.

מי שיכול לוותר: ארגון עם צוות אבטחה שבאמת עובר על ההתראות, ועסק קטן מאוד בלי מידע רגיש, שיכול להתחיל מהגנת קצה טובה ומגיבוי מבודד ולהוסיף את השירות כשהסיכון גדל.

איך זה נראה עם Acronis ועם אמפייר אייאל

אמפייר אייאל היא משווק מורשה של Acronis. במערכת Acronis Cyber Protect אותו סוכן גם מגבה וגם מגן, ולכן התגובה לאירוע יכולה לכלול שחזור מהגיבוי. שכבת ה-EDR מציגה את שרשרת המתקפה צעד אחר צעד, ומאותו מסך אפשר לבודד מכשיר ולעצור תהליך.

מעל זה יש שתי דרכי עבודה. בשירות המנוהל שלנו אנחנו מקימים את המערכת, מגדירים את מדיניות ההגנה, עוקבים אחרי ההתראות ומטפלים בהן, ומעדכנים אתכם על אירועים חריגים. אפשר גם להוסיף את שירות ה-MDR של Acronis, שבו צוות מומחי אבטחה מנטר, חוקר ומגיב לאירועים עבורכם. ארגון שיש לו צוות משלו יכול לבחור בניהול עצמי, עם גישה מלאה לקונסולה ולכלי החקירה.

שאלות נפוצות

מה ההבדל בין MDR ל-EDR?

EDR הוא מערכת: היא אוספת נתונים, מזהה התנהגות חשודה ומתריעה. MDR הוא שירות: צוות שמפעיל את המערכת הזאת, בודק את ההתראות ומגיב. מי שקונה EDR בלבד צריך לספק את האנשים בעצמו.

מה ההבדל בין MDR ל-SOC?

SOC, ראשי תיבות של Security Operations Center, הוא מרכז ניטור האבטחה של ארגון: האנשים, הנהלים והכלים. ארגונים גדולים מקימים אחד משלהם. MDR הוא דרך לקבל את התפקיד הזה כשירות, בלי להקים ולאייש מרכז כזה.

האם MDR מחליף את איש המחשוב שלנו?

לא. הצוות מטפל בזיהוי ובתגובה לאירועי אבטחה. התקנות, עדכונים, הרשאות, גיבויים ותמיכה בעובדים נשארים אצל איש המחשוב או אצל ספק ה-IT. השניים משלימים זה את זה, והצוות אף נשען על איש המחשוב כדי לתקן את מה שהתגלה.

צריך להחליף את האנטי-וירוס הקיים כדי לקבל MDR?

זה תלוי בספק. שירות כזה נשען על מערכת זיהוי מסוימת, ולכן צריך לבדוק איך היא משתלבת עם מה שכבר מותקן. כשפונים אלינו אנחנו שואלים מה מותקן אצלכם היום, וממליצים בהתאם.

האם MDR מבטיח שלא תהיה מתקפה?

לא, ואף שירות אינו יכול להבטיח זאת. המטרה היא לזהות מוקדם ולבלום לפני שהנזק מתרחב. לכן השירות בא יחד עם יסודות האבטחה ועם גיבוי שאפשר לשחזר ממנו, ולא במקומם.

מה קורה כשהצוות מזהה מתקפה אמיתית?

הוא בולם אותה בגבולות ההרשאה שסוכמה, למשל בבידוד המחשב שנפגע, ומודיע לאיש הקשר שלכם מה קרה ומה נדרש. לאחר מכן מגיע דוח שמסביר איך המתקפה נכנסה ומה כדאי לתקן כדי שלא תחזור.

רוצים שמישהו יסתכל על ההתראות בשבילכם?

כתבו לנו כמה מחשבים ושרתים יש בעסק ומה מותקן עליהם היום. נמליץ על שכבות ההגנה שמתאימות לכם ועל דרך העבודה, מנוהלת או עצמית. כל הפרטים בדף הגנת הסייבר של Acronis.