eXtended Detection and Response (XDR) гэж юу вэ, хэрхэн тохируулах вэ?

eXtended Detection and Response (XDR) нь компанийн хэмжээний үйл явдлуудыг уялдуулан шинжилдэг бүрэлдэхүүн хэсэг бөгөөд холимог дэд бүтэц (ажлын станц, сервер, контейнер; янз бүрийн үйлдлийн систем) дахь олон төхөөрөмжөөр дамжсан ахисан түвшний халдлагыг илрүүлнэ. XDR нь Bitdefender-ийн нэгдсэн Environment Protection Platform-ын нэг хэсэг бөгөөд таны сүлжээн дэх төхөөрөмжүүдийн мэдээллийг нэг дор цуглуулдаг. Ингэснээр таны ослын хариу арга хэмжээ авах багийн ахисан түвшний аюулыг судлах, хариу өгөх ажил хөнгөрнө.

eXtended Detection and Response (XDR) нь компанийн хэмжээнд ажилладаг хөнгөн шийдэл бөгөөд дараахыг хийх боломж олгоно:

• Сүлжээний хэмжээний ослыг (incident) харж, шинжилж, таны орчинд үзүүлэх нөлөөг багасгах (өргөтгөсөн осол харах хэсгийг үзнэ үү).
• Эмзэг байдлыг арилгаж, халдлага давтагдах эрсдэлийг бууруулах арга хэмжээ авах.
• Уламжлалт endpoint-ийн урьдчилан сэргийлэх механизмаас мултарсан үйл ажиллагааг илрүүлэх.
• Халдлагыг эхний шатанд нь илрүүлэхэд аналистуудад тусалдаг Indicators of Compromise (IoC) болон сэжигтэй элементүүдийг хайх.

Осолд нэмэлт өгөгдөл оруулж, өгөгдлийн уялдааг сайжруулахын тулд XDR-д sensor нэмж болно. Сүлжээ, identity provider, cloud workload болон бүтээмжийн апп-тай холбоотой sensor нэмэхэд тусдаа лиценз шаардлагатай.

Ингэснээр ослын хариу арга хэмжээний баг хажуугийн тархалтыг (lateral spread) хязгаарлаж, үргэлжилж буй халдлагыг зогсоох ойлгомжтой алхмуудтай ажиллах боломжтой болно.

Бүрэлдэхүүн хэсгүүд

eXtended Detection and Response нь дараах бүрэлдэхүүн хэсгүүдээс хамаарна:

• GravityZone Control Center
• Security agent (Windows)

Онцлогийг тохируулж суулгах

Энэ онцлогийг ашиглаж эхлэхийн тулд доорх алхмуудыг дагана.

Арга 1. Суулгасан agent-д модуль нэмэх

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Network (Сүлжээ) хуудас руу орж, модулийг суулгах endpoint-уудаа сонгоно.

3. 3Хүснэгтийн дээд талын Actions (Үйлдлүүд) товчийг дарж Reconfigure agent-ийг сонгоно.

4. 4Modules хэсэгт Add-ийг сонгоод EDR Sensor-ийг идэвхжүүлнэ.

> Тэмдэглэл: Reconfigure agent даалгаврын талаар дэлгэрэнгүйг Endpoint дээр даалгавар ажиллуулах хэсгээс үзнэ үү.

5. 5Save дарна.

Даалгавар сонгосон бүх endpoint дээр EDR Sensor модулийг суулгана.

Арга 2. Installation package ашиглан суулгах

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Installation Packages хуудас руу орно.

3. 3Дэлгэцийн баруун дээд буланд байгаа Create товчийг дарна.

4. 4Шинэ багцын Name (Нэр) болон Description (Тайлбар)-ыг бичнэ.

5. 5Суулгах модулиудаа сонгоно.

> Тэмдэглэл: EDR Sensor модулийг заавал оруулсан эсэхээ шалгана уу.

6. 6Save дарна.

7. 7Жагсаалтаас шинээр үүсгэсэн багцаа сонгоод Send download links дарна.

8. 8Хүлээн авагчдын и-мэйл хаягийг бичээд Send дарна.

Policy-д тохируулга хийх

Policy (Бодлого) нь endpoint дээрх онцлогуудыг идэвхжүүлж, тохируулахад ашиглагдана. Өөрийн сонгосон policy-д дараах өөрчлөлтийг хийнэ:

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Policies хуудас руу орно.

3. 3Дараахын аль нэгийг хийнэ:

- Шинэ policy үүсгэх.
- Одоо байгаа policy-нхоо тохиргоог засах.

4. 4Incident Sensors хэсэгт модулийг идэвхжүүлнэ.

5. 5Policy-гоо Save хийнэ.

6. 6Шинэ policy үүсгэсэн бол онцлог суулгасан endpoint-уудад оноож өгнө:

1. Зүүн талын цэснээс Network хуудас руу орно.

2. Policy оноох endpoint-уудаа сонгоно.

3. Хүснэгтийн дээд талын Actions товчийг дарж Assign policy-г сонгоно.

4. Оноох policy-гоо сонгоно.

5. Finish дарна.

> Тэмдэглэл: Дэлгэрэнгүйг Төхөөрөмжийн policy оноох хэсгээс үзнэ үү.

Одоо байгаа policy-г засаж байсан бол онцлог суулгасан бүх endpoint дээр тэр policy оноогдсон эсэхийг шалгана уу.

Ингэснээр онцлог идэвхжиж, таны компанийн хэрэгцээнд тохируулагдана.

Sensor нэмэх

Осолд нэмэлт өгөгдөл оруулж, өгөгдлийн уялдааг сайжруулахын тулд XDR-д sensor нэмнэ. Сүлжээ, identity provider, cloud workload болон бүтээмжийн апп-тай холбоотой sensor нэмэхэд тусдаа лиценз шаардлагатай.

Sensor-уудаа холбохын тулд Sensor суулгах ба холболт нийтлэлийн алхмуудыг дагана.

Онцлогийг туршиж үзэх

Илэрсэн аюул болон тэдгээрийн талаарх мэдээллийг дараах хоёр хэсгийн аль нэгээс харж болно:

• Incidents - энэ хуудас нь Incidents Sensor-оор тодорхой хугацаанд илэрсэн бүх аюулгүй байдлын үйл явдлыг шүүж, судалж, тэдгээр дээр арга хэмжээ авахад тусална. Дэлгэрэнгүй
• Search - энэ хуудас нь нарийн хайлтын нөхцөлөөр өмнө нь болсон аюулгүй байдлын үйл явдлыг хайх боломж олгоно. GravityZone ямар үйл явдлыг боловсруулахыг Configuration > Raw Events хэсэгт сонгоно. Дэлгэрэнгүй

Custom rules онцлогийг туршиж үзэх

Тодорхой хавтас дахь тодорхой нэртэй файлыг илрүүлэхэд сэрэмжлүүлэг үүсгэх custom rule-ийг дараах байдлаар үүсгэнэ:

1. 1Онцлогийг турших endpoint дээр туршилтын хавтас үүсгэнэ (жишээ нь C: partition дээр test хавтас).

> Тэмдэглэл: Таны зассан эсвэл үүсгэсэн policy тухайн endpoint дээр оноогдсон эсэхийг шалгана уу.

2. 2test_detection нэртэй .txt файл үүсгэнэ.

3. 3Зүүн талын цэснээс Custom detection rules хуудас руу орно.

4. 4Add Rule дарна.

5. 5Дараах нөхцөлүүдийг тохируулна:

- Consider as detection every хэсэгт File-ийг сонгоно.
- Path > Is > C:\test\
- Name > Is > test_detection

6. 6Next Step-ийг сонгоно.

7. 7Дүрмийн нэр, тайлбарыг бичээд Create rule-ийг сонгоно.

8. 8Шинээр үүсгэсэн дүрэм endpoint-д очих хүртэл хэдэн минут хүлээнэ.

9. 9test хавтас руу орж .txt файлыг нээнэ.

Энэ дүрэм ажилласны улмаас сэрэмжлүүлэг үүснэ. Үүнийг Search эсвэл Incidents хуудаснаас харж болно.

Custom rules онцлогийн талаар дэлгэрэнгүйг Custom detection rules хэсгээс үзнэ үү.