Wat is XDR? Een gids over uitgebreide detectie en respons

Beveiligingsteams beschikken over meer tools dan ooit, maar toch glippen er steeds weer aanvallen door de mazen van het net. De reden hiervoor is meestal niet een gebrek aan capaciteit; afzonderlijke beveiligingstools genereren gegevens in silo’s, zonder dat er onderlinge context is. Hier gaat er een endpoint-waarschuwing af. Daar duikt een verdachte aanmelding op. Ergens anders blijft een netwerkafwijking onopgemerkt. Het kost meer tijd om alle stukjes in elkaar te puzzelen dan de meeste teams tot hun beschikking hebben.

Extended Detection and Response (XDR) is ontwikkeld om dat probleem op te lossen. Door telemetrie uit de gehele omgeving samen te brengen in één detectie- en responsplatform, biedt XDR beveiligingsteams het geïntegreerde inzicht dat ze nodig hebben om bedreigingen sneller op te sporen en te reageren voordat de schade zich uitbreidt. Voor MSP’s en IT-teams die met beperkte personeelsbezetting en steeds grotere aanvalsoppervlakken werken, is de beveiligingsstack van Kaseya – bestaande uit Datto EDR, Kaseya MDR en Kaseya SIEM – ontworpen om diezelfde omgevingoverschrijdende dekking te bieden, zonder de complexiteit van een speciaal ontwikkeld XDR-platform voor grote ondernemingen.

Wat is Extended Detection and Response (XDR)?

Extended Detection and Response (XDR) is een beveiligingsaanpak die telemetriegegevens uit verschillende lagen van de IT-omgeving (endpointsen, netwerken, cloudworkloads, e-mail- en identiteitssystemen) samenbrengt op één platform voor detectie, onderzoek en respons. In plaats van afzonderlijke tools te beheren die elk slechts een deel van het totaalbeeld weergeven, correleert XDR gegevens uit al deze bronnen om bedreigingen aan het licht te brengen die anders verborgen zouden blijven.

De term werd in 2018 door Palo Alto Networks geïntroduceerd en is sindsdien uitgegroeid tot een van de meest besproken concepten op het gebied van bedrijfsbeveiliging. Gartner definieert XDR als een „geïntegreerd platform voor het detecteren van en reageren op beveiligingsincidenten dat automatisch gegevens verzamelt en correleert uit meerdere eigen beveiligingscomponenten.” Forrester beschrijft het als „de evolutie van endpoint detection and response (EDR)“, waarmee wordt erkend dat XDR is ontstaan met EDR als kern en zich vervolgens heeft uitgebreid om een groter deel van het aanvalsoppervlak te bestrijken.

In de praktijk speelt XDR vooral een cruciale rol in de periode tussen detectie en reactie. Traditionele beveiligingstools genereren meldingen afzonderlijk. Een analist kan een verdacht proces op een endpoints zien, een vreemde authenticatiegebeurtenis in het identiteitssysteem en een ongebruikelijke uitgaande verbinding op het netwerk, zonder dat er aanwijzingen zijn dat deze drie gebeurtenissen deel uitmaken van dezelfde aanval. XDR legt automatisch verbanden tussen deze punten, stelt tijdlijnen van aanvallen op en brengt gebeurtenissen uit verschillende bronnen met elkaar in verband, zodat analisten incidenten kunnen onderzoeken in plaats van afzonderlijke meldingen.

Hoe XDR werkt

XDR werkt volgens een driestappenproces. Elke stap bouwt voort op de vorige, waardoor ruwe gegevens uit de hele omgeving worden omgezet in bruikbare, geprioriteerde incidenten.

Inlezen en normaliseren

XDR begint met het verzamelen van telemetriegegevens uit alle aangesloten beveiligingstools en gegevensbronnen. Hieronder vallen endpoint-agents, firewalls, e-mailgateways, identiteitsproviders, cloudplatforms en SaaS-toepassingen. Aangezien elk van deze bronnen gegevens in verschillende formaten en schema’s produceert, normaliseert XDR alles naar een gemeenschappelijk gegevensmodel voordat de analyse van start gaat.

Deze normalisatiestap maakt correlatie tussen verschillende bronnen mogelijk. Zonder deze stap kunnen een gebeurtenis van een endpoint-agent en een gebeurtenis van een cloud-identiteitsplatform niet op een zinvolle manier met elkaar worden vergeleken, omdat ze de wereld in onderling onverenigbare termen beschrijven. Het standaardiseren van de gegevens bij het binnenhalen vormt de basis voor alles wat daarna volgt.

Correlatie vaststellen en detecteren

Terwijl genormaliseerde gegevens vanuit de gehele omgeving binnenkomen, past het XDR-platform analyses, detectieregels en machine learning-modellen toe om verdachte activiteiten te identificeren. Dit is waar XDR zijn belangrijkste voordeel ten opzichte van gescheiden tools laat zien. Detecties worden geactiveerd op basis van gecorreleerde patronen, niet alleen op basis van afzonderlijke gebeurtenissen.

Een enkele mislukte inlogpoging is onbelangrijk. Een reeks mislukte inlogpogingen vanaf een ongebruikelijke locatie, gevolgd door een succesvolle inlogpoging, gevolgd door het starten van een proces op een endpoints waar dat account normaal gesproken geen toegang toe heeft. Dat is een incident. XDR brengt dit patroon in kaart als één enkele, in context geplaatste waarschuwing, in plaats van drie afzonderlijke gebeurtenissen die verspreid over drie verschillende dashboards verborgen blijven.

Moderne XDR-platforms maken in deze fase ook gebruik van dreigingsinformatie, waarbij de verwerkte gegevens worden vergeleken met bekende indicatoren van compromittering en de huidige technieken van dreigingsactoren die zijn gekoppeld aan het MITRE ATT&CK-raamwerk. Dit betekent dat detecties vanaf het moment dat ze worden geactiveerd al context bevatten, waardoor analisten minder tijd hoeven te besteden aan het uitzoeken wat een bepaalde waarschuwing precies inhoudt.

Onderzoeken en reageren

Wanneer een gecorreleerde detectie wordt geactiveerd, biedt XDR analisten een volledig overzicht van het incident, inclusief de tijdlijn van de gebeurtenissen, de getroffen systemen en accounts, de gegevensbronnen die aan de detectie hebben bijgedragen, en voorgestelde of geautomatiseerde reactiemaatregelen. Dit is het verschil tussen reageren op een waarschuwing en reageren op een aanval.

Responsmaatregelen in XDR kunnen geautomatiseerd zijn, door analisten worden gestuurd, of beide. Veelvoorkomende geautomatiseerde maatregelen zijn onder meer het isoleren van een gecompromitteerd endpoints van het netwerk, het blokkeren van een kwaadaardig IP-adres, het opschorten van een gebruikersaccount dat tekenen van compromittering vertoont, of het in quarantaine plaatsen van een verdacht bestand. Bij beslissingen met grotere gevolgen biedt XDR de context die analisten nodig hebben om snelle, weloverwogen keuzes te maken, in plaats van urenlang te moeten reconstrueren wat er is gebeurd.

Open XDR versus native XDR

Niet alle XDR-platforms zijn op dezelfde manier opgezet, en dit verschil is van belang bij het beoordelen of een oplossing in een bestaande omgeving past. De twee belangrijkste benaderingen zijn open XDR en native XDR.

Open XDR is ontworpen om gegevens van beveiligingstools van welke leverancier dan ook te verwerken via open API’s en kant-en-klare integraties. In plaats van dat het platform volledig moet worden vervangen, fungeert Open XDR als een correlatie- en detectielaag bovenop de tools die een organisatie al gebruikt. Dit maakt het aanzienlijk praktischer voor omgevingen met een mix van bestaande investeringen, wat geldt voor de meeste praktijkomgevingen van MSP-klanten.

Native XDR (ook wel ‘closed XDR’ genoemd) wordt ontwikkeld en verkocht door één enkele leverancier, wiens eigen beveiligingsproducten het platform van gegevens voorzien. Detectie, onderzoek en respons vinden allemaal plaats binnen één ecosysteem. Het voordeel is een naadloze integratie, consistente gegevenskwaliteit en een eenvoudigere gebruikerservaring. Het nadeel is de beperkte flexibiliteit. Organisaties die al hebben geïnvesteerd in tools van derden die niet tot het portfolio van die leverancier behoren, kunnen het moeilijk vinden om native XDR uit te breiden.

Voor MSP’s die diverse klantomgevingen bij tientallen of honderden bedrijven beheren, is open XDR doorgaans de meest realistische keuze. Elke klant kan een andere combinatie van tools, besturingssystemen en cloudplatforms hebben. Een detectie- en responsaanpak die volledige afhankelijkheid van één leverancier vereist, is op grote schaal moeilijk te standaardiseren. Een oplossing die gegevens verzamelt uit alles wat al is geïmplementeerd, is operationeel gezien veel beter beheersbaar.

Hoe XDR zich verhoudt tot andere detectie- en responsinstrumenten

XDR maakt deel uit van een bredere groep detectie- en responstechnologieën die er van buitenaf gezien op elkaar kunnen lijken. Hieronder wordt uitgelegd hoe XDR zich tot elk van deze technologieën verhoudt.

XDR versus EDR

Endpoint Detection and Response (EDR) richt zich uitsluitend op endpointsen (werkstations, laptops, servers en mobiele apparaten). Het systeem houdt procesactiviteit, bestandswijzigingen, netwerkverbindingen en andere gebeurtenissen op endpointsniveau in de gaten en kan een apparaat isoleren of een proces beëindigen als reactie op een gedetecteerde dreiging. EDR vormt doorgaans het uitgangspunt voor elk detectie- en responsprogramma en is vaak de gegevensbron voor een XDR-platform.

Het verschil zit hem in de reikwijdte. EDR registreert alles wat er op het endpoints gebeurt. XDR registreert niet alleen het endpoints, maar ook het netwerk, de cloud, identiteitsgegevens, e-mail en alle andere gekoppelde bronnen. Om een aanval die begint met een phishing-e-mail, via het misbruik van inloggegevens verloopt en uiteindelijk op een endpoints wordt uitgevoerd, volledig te doorgronden, is inzicht in alle drie de lagen nodig. EDR biedt inzicht in de fase op het endpoints; XDR biedt inzicht in het volledige proces. Zie EDR versus XDR voor een uitgebreidere toelichting.

XDR versus MDR

Managed Detection and Response (MDR) is een dienst, geen platform. MDR-aanbieders combineren detectie- en responstechnologie met een team van menselijke analisten die namens de klant toezicht houden, onderzoek doen en reageren. XDR is de onderliggende technologische benadering; MDR is de manier waarop die capaciteit als een beheerde dienst kan worden geleverd.

In de praktijk draaien veel MDR-diensten op XDR-platforms of maken ze gebruik van XDR-achtige correlatie van gegevens uit meerdere bronnen als onderdeel van hun detectiemethodiek. Voor organisaties die zichtbaarheid op XDR-niveau willen zonder dat ze over het eigen personeel beschikken om een XDR-platform te beheren, is MDR de meest praktische oplossing. De twee vullen elkaar aan en concurreren niet met elkaar. Lees meer hierover in ons artikel over MDR versus XDR.

XDR versus NDR

Netwerkdetectie en -respons (NDR) richt zich op netwerkverkeer en analyseert datastromen, protocollen en communicatiepatronen op netwerkniveau om laterale bewegingen, gegevensdiefstal en bedreigingen voor niet-beheerde apparaten op te sporen. NDR ziet wat endpointsen niet kunnen zien, omdat het activiteiten registreert van apparaten waarop geen agent is geïnstalleerd.

XDR kan NDR als een van zijn gegevensbronnen integreren. Wanneer dat gebeurt, worden gebeurtenissen op netwerkniveau opgenomen in hetzelfde gecorreleerde incidentoverzicht als gebeurtenissen op endpoints- en cloudniveau, waardoor analisten tegelijkertijd volledig inzicht krijgen in alle drie de lagen.

XDR versus SIEM

Security Information and Event Management (SIEM) verzamelt en correleert loggegevens uit de gehele omgeving, vergelijkbaar met wat XDR doet. De belangrijkste verschillen zitten in de architectuur en het doel. Traditioneel SIEM was ontworpen voor het samenvoegen van loggegevens met het oog op naleving van regelgeving en vereiste aanzienlijke handmatige afstemming om bruikbare detecties te genereren. Het genereert grote hoeveelheden waarschuwingen en laat het onderzoek en de respons doorgaans over aan het team van analisten.

XDR is speciaal ontwikkeld voor detectie en respons, met kant-en-klare correlatiemodellen, geautomatiseerd onderzoek en geïntegreerde responsmaatregelen. In plaats van logbestanden te genereren voor analyse, brengt het incidenten aan het licht waarop actie moet worden ondernomen. In omgevingen waar beide systemen worden ingezet, zorgt SIEM vaak voor het langdurig bewaren van logbestanden en compliance-rapportage, terwijl XDR zich bezighoudt met realtime detectie van bedreigingen en respons daarop. Zie XDR vs. SIEM voor een gedetailleerde vergelijking.

XDR versus SOAR

Security Orchestration, Automation and Response (SOAR) automatiseert de workflows die nodig zijn om op beveiligingsincidenten te reageren, coördineert acties tussen meerdere tools, voert responsplaybooks uit en vermindert het aantal handmatige stappen bij triage en inperking. Waar XDR incidenten detecteert en aan het licht brengt, automatiseert SOAR de vervolgstappen. XDR bevat vaak enkele ingebouwde SOAR-achtige functies (geautomatiseerde isolatie, opschorting van accounts, blokkering), maar speciale SOAR-platforms gaan verder in het aanpassen van workflows en het coördineren van verschillende tools. In volwassen beveiligingsomgevingen worden XDR en SOAR vaak samen ingezet, waarbij XDR de detectie voor zijn rekening neemt en SOAR de gecoördineerde respons.

Voordelen van XDR

De belangrijkste reden voor XDR ligt in een praktisch probleem. Beveiligingsteams worden overspoeld met waarschuwingen van tools die niet met elkaar communiceren. XDR pakt dat probleem rechtstreeks aan, en de voordelen vloeien voort uit de oplossing:

• Eén totaaloverzicht: Beveiligingsteams hebben vanuit één console inzicht in alle endpointsen, netwerken, de cloud en identiteiten. Bedreigingen die zich over meerdere lagen uitstrekken (wat steeds vaker het geval is bij de meest geavanceerde aanvallen) worden weergegeven als samenhangende incidenten, in plaats van als losstaande signalen verspreid over verschillende dashboards.
• Snellere detectie: Door gegevens uit verschillende bronnen met elkaar te correleren en kant-en-klare detectiemodellen toe te passen, brengt XDR bedreigingen aan het licht die bij handmatige controle of met tools die slechts één bron gebruiken, over het hoofd zouden worden gezien. De gemiddelde tijd die nodig is om een bedreiging te detecteren, neemt af omdat het platform het correlatiewerk uitvoert dat analisten anders handmatig zouden moeten doen.
• Minder alarmmoeheid: XDR filtert ruis al in de correlatiefase, door gerelateerde gebeurtenissen te groeperen tot incidenten en signalen met een lage betrouwbaarheid te onderdrukken. Analisten werken op basis van een geprioriteerde incidentenwachtrij in plaats van een onbewerkte stroom van waarschuwingen, waardoor echte bedreigingen sneller onder de aandacht komen.
• Snellere reactie: dankzij geautomatiseerde reactiemaatregelen en geïntegreerde draaiboeken kan de indamming al binnen enkele seconden in plaats van minuten van start gaan. Bij snel evoluerende bedreigingen zoals ransomware maakt dat verschil in snelheid een groot verschil.
• Minder operationele complexiteit: Door meerdere afzonderlijke oplossingen te vervangen door één geïntegreerde detectie- en responslaag, neemt het aantal tools, consoles en integraties af dat een team moet beheren. Voor IT-teams met beperkte middelen biedt deze vereenvoudiging een concrete operationele meerwaarde.
• Betere onderzoekscontext: Wanneer er een incident plaatsvindt, geeft XDR in één overzicht de volledige tijdlijn van de aanval, de getroffen systemen en de relevante gegevensbronnen weer. Analisten hoeven minder tijd te besteden aan het reconstrueren van wat er is gebeurd en kunnen zich daardoor sneller richten op het oplossen van het probleem.

Managed XDR: XDR als dienst

Het beheren van een XDR-platform vereist meer dan alleen het implementeren van de technologie. Er moet iemand zijn die de incidentenwachtrij in de gaten houdt, detecties onderzoekt, beslissingen neemt over de te nemen maatregelen en het platform in de loop van de tijd verder afstemt. Voor de meeste kleine en middelgrote ondernemingen en veel MSP’s is het niet haalbaar om die functie 24 uur per dag intern te bemannen.

Managed XDR, ook wel XDR as a service of MxDR genoemd, biedt hiervoor een oplossing door XDR-technologie te combineren met een team van beveiligingsanalisten die het platform namens de klant beheren. De aanbieder zorgt voor continue monitoring, het beoordelen van waarschuwingen, onderzoek en respons, terwijl de klant via dashboards en rapportages inzicht behoudt. Het levert hetzelfde beveiligingsresultaat op als een volledig bemand Security Operations Center (SOC), zonder dat de klant er zelf een hoeft op te zetten.

Voor MSP’s biedt managed XDR aanzienlijke kansen. In plaats van te verwachten dat elke MKB-klant zijn eigen detectie- en responsprogramma beheert, kan de MSP deze functionaliteit als een managed service aanbieden en zo de dekking voor alle klanten uitbreiden via één centraal platform. Dit model is schaalbaar op een manier die bij beheer per endpoints of per tool niet mogelijk is.

Het sleutelbegrip waar het hier om gaat, is ‘managed extended detection and response’, waarmee specifiek wordt verwezen naar XDR die als uitbestede dienst wordt geleverd. Naarmate de markt voor ‘ managed services ’ volwassen is geworden, is deze categorie snel gegroeid, aangedreven door het feit dat de meeste organisaties zichtbaarheid op XDR-niveau nodig hebben, maar niet over het interne personeel beschikken om dit zelfstandig te realiseren.

Hoe Kaseya XDR-mogelijkheden biedt

Kaseya brengt geen product op de markt onder de naam XDR. Wat het bedrijf wel aanbiedt, is een reeks nauw geïntegreerde beveiligingsproducten die samen de omgevingsoverschrijdende detectie- en responsmogelijkheden bieden die XDR belooft, afgestemd op de omgevingen waarin MSP’s en IT-teams daadwerkelijk werken.

Datto EDR biedt de endpoint-laag en voert gedragsmonitoring uit op Windows, macOS en Linux, waarbij elke detectie wordt gekoppeld aan het MITRE ATT&CK-raamwerk. Dankzij meer dan 65 geautomatiseerde reactieacties, ingebouwde ransomware-rollback en directe integratie met Datto RMM en Kaseya VSA maakt endpointbeveiliging deel uit van dezelfde beheerworkflow die MSP’s al gebruiken.

Kaseya MDR biedt een beheerde detectie- en responslaag, waarbij beveiligingsanalisten in de VS zorgen voor continue monitoring van endpointsen, Microsoft 365 en firewalls. Dankzij AI-gestuurde correlatie wordt het aantal valse alarmen teruggebracht, zodat analisten zich kunnen concentreren op bevestigde bedreigingen. Voor MSP’s is dit een kant-en-klare beheerde SOC-oplossing die aan klanten kan worden aangeboden zonder dat er een intern team van analisten hoeft te worden opgezet.

Kaseya SIEM zorgt voor platformoverschrijdende correlatie en logboekbeheer, waarbij telemetrie van endpointsen en cloudapplicaties wordt gebundeld in één dashboard met meer dan 60 ingebouwde koppelingen en een bewaartermijn van 400 dagen voor logboeken. Het vormt een aanvulling op Kaseya MDR door te zorgen voor logboekaggregatie en rapportage over naleving, terwijl MDR zich bezighoudt met realtime detectie en respons.

XDR draait in wezen om zichtbaarheid. Hoe meer inzicht een beveiligingsteam in de omgeving heeft, hoe sneller en nauwkeuriger het bedreigingen kan detecteren en erop kan reageren. Of dat inzicht nu afkomstig is van een speciaal XDR-platform of van een geïntegreerde reeks speciaal ontwikkelde tools, het gaat om het eindresultaat. De beveiligingssuite van Kaseya is ontworpen om dat resultaat haalbaar te maken voor de teams die het het hardst nodig hebben en zich de minste fouten kunnen veroorloven.