Bitdefender MDR — Managed Detection and Response

Dlaczego potrzebujesz zarządzanego wykrywania i reagowania?

Technologia wykrywa incydent o trzeciej nad ranem - pytanie, kto go wtedy obsłuży. Platforma EDR generuje sygnały przez całą dobę, ale zespół, który potrafi je ocenić i podjąć decyzję o izolacji stacji, pracuje w godzinach biurowych. Zbudowanie własnej zmiany nocnej i weekendowej to nie koszt licencji, tylko koszt ludzi, których na rynku brakuje.

Bitdefender MDR (Managed Detection and Response) to usługa, w której analitycy vendora monitorują telemetrię GravityZone w Twoim środowisku 24 godziny na dobę, badają wykrycia i wykonują uzgodnione działania powstrzymujące - a Ty dostajesz opis incydentu i rekomendacje zamiast strumienia alertów. Czym MDR różni się od klasycznego MSSP, wyjaśniamy w haśle MDR w słowniku nFlo.

Jak to działa?

Telemetria GravityZone jako źródło

Usługa obejmuje platformę GravityZone Business Security Enterprise: agent na stacjach i serwerach dostarcza telemetrię EDR, na której pracują analitycy. Nie trzeba wdrażać osobnego sensora ani integrować obcego narzędzia - MDR działa na tej samej platformie, którą organizacja i tak używa do ochrony endpointów. Dodatki GravityZone, takie jak EASM czy PHASR, można aktywować także na licencji MDR.

Trzy centra SOC w modelu follow-the-sun

Bitdefender prowadzi trzy centra operacji bezpieczeństwa: w Ameryce Północnej (Teksas), w Europie (Rumunia) i w regionie Azji i Pacyfiku (Singapur). Zmiany są ułożone tak, że w godzinach pracy klienta obsługuje go centrum z jego regionu, a poza nimi płynnie przejmuje je kolejne - stąd pokrycie 24/7 bez luk na przekazaniu dyżuru.

Działania wstępnie zatwierdzone (Pre-Approved Actions)

Przed startem usługi organizacja uzgadnia z vendorem katalog działań, które analitycy mogą wykonać bez pytania o zgodę w trakcie incydentu - na przykład izolację hosta od sieci czy neutralizację konta. Dzięki temu reakcja następuje wtedy, gdy liczy się czas, a nie po tym, jak ktoś po stronie klienta odbierze telefon. Po incydencie organizacja dostaje analizę przyczyny źródłowej i wpływu oraz raport z podjętych kroków; vendor prowadzi też wzmocnione monitorowanie, żeby wykryć powtórkę lub incydent powiązany.

Główne funkcje

Monitorowanie i analiza

• Ciągła obserwacja telemetrii GravityZone przez analityków SOC vendora
• Pełny cykl życia alertu po stronie usługi: tysiące alertów sprowadzone do kilku odpowiedzi i rekomendacji
• Threat hunting oparty na danych Bitdefender Labs i zespołu threat intelligence MDR
• Kontakt z wyznaczoną osobą po stronie klienta w trakcie incydentu

Reakcja i dokumentacja

• Pre-Approved Actions: izolacja hostów, neutralizacja kont i inne uzgodnione kroki
• Analiza przyczyny źródłowej i potencjalnego wpływu incydentu
• Raport po incydencie (after-action report) do wewnętrznego przeglądu i dla audytora
• Wzmocnione monitorowanie po zamknięciu incydentu

Poprawa postawy bezpieczeństwa

• Rekomendacje ekspertów: działania korygujące, które zmniejszają ryzyko kolejnych incydentów
• Portal MDR z cyklicznym raportowaniem: incydenty, trendy, wskazówki remediacyjne
• Gwarancja Bitdefendera na wypadek naruszenia - element oferty vendora; zakres i warunki określa jego dokumentacja

MDR vendora vs. SOC nFlo - co wybrać?

Obie opcje można łączyć: MDR vendora obsługuje warstwę endpointów, a SOC nFlo koreluje ją z resztą infrastruktury i prowadzi proces incydentowy organizacji.

Wymagania i model usługi

Platforma: GravityZone Business Security Enterprise jest częścią usługi - telemetria EDR ze stacji i serwerów to podstawa pracy analityków.

Systemy operacyjne: Windows, macOS, Linux (agent GravityZone).

Onboarding: uzgodnienie katalogu Pre-Approved Actions, listy kontaktów awaryjnych i zakresu monitorowanych systemów.

Warianty: Bitdefender oferuje także MDR PLUS oraz MDR dla dostawców usług zarządzanych - który wariant odpowiada Twoim potrzebom, ustali handlowiec nFlo.

Dla kogo?

• Firmy bez zmiany nocnej w zespole bezpieczeństwa - reakcja na incydent w nocy i w weekend bez budowania własnego SOC
• Organizacje standaryzujące się na GravityZone - jeden agent, jedna konsola i zespół vendora, który zna platformę
• Podmioty kluczowe i ważne w rozumieniu uKSC - dowody ciągłego monitorowania i udokumentowanej reakcji na incydenty
• Firmy z ograniczonym zespołem IT - analitycy vendora przejmują triage, a zespół dostaje gotowe rekomendacje

Jak Bitdefender MDR wspiera NIS2 i uKSC?

MDR dokłada do wymagań art. 8 uKSC i art. 21 NIS2 ludzi, którzy pracują na telemetrii przez całą dobę - trzy z dwunastu obszarów, których pełne mapowanie opisujemy w artykule jak GravityZone wspiera NIS2 i uKSC:

• Ciągłe monitorowanie i wykrywanie zagrożeń - analitycy trzech centrów SOC obserwują telemetrię GravityZone 24/7, badają wykrycia i prowadzą threat hunting; organizacja ma dowód, że monitorowanie jest ciągłe, a nie tylko skonfigurowane.
• Zarządzanie incydentami i reakcja - Pre-Approved Actions pozwalają analitykom izolować hosty i neutralizować konta bez zwłoki; analiza przyczyny źródłowej i raport po incydencie dokumentują przebieg zdarzenia i podjęte kroki.
• Cyberodporność i ograniczanie skutków ransomware - szybkie powstrzymanie incydentu ogranicza zasięg szyfrowania; platforma Business Security Enterprise wchodząca w skład usługi wykrywa próby szyfrowania i odtwarza pliki, a gwarancja vendora obejmuje zdarzenia ransomware na warunkach z jego dokumentacji.

Który z tych obszarów jest u Ciebie luką, sprawdzimy w ramach usługi NIS2 Readiness Check - Audyt zerowy.

Kto podlega ustawie, terminy i kary - zbiera nasz hub NIS2. GravityZone nie zastępuje SZBI, formalnego zarządzania ryzykiem, audytu ani odpowiedzialności organizacji za obowiązki z NIS2 i uKSC - wspiera ich techniczną część.

Dlaczego wdrożyć z nFlo?

• Dobieramy licencję i wariant MDR do liczby endpointów i sposobu pracy organizacji
• Wdrażamy agentów GravityZone i porządkujemy telemetrię, zanim przejmą ją analitycy vendora
• Integrujemy działania MDR z procesem obsługi incydentów klienta, w tym z obowiązkami zgłoszeniowymi z uKSC
• Łączymy MDR vendora z SOC nFlo tam, gdzie infrastruktura wykracza poza endpointy GravityZone

Jak MDR producenta łączy się z korelacją i procesem incydentowym nFlo, opisujemy na stronie usługi Managed Detection & Response (MDR); rozmowę o Twoim środowisku zacznij przez kontakt, a o współpracy nFlo z producentem przeczytasz na stronie Bitdefender.