Beveiligingsteams beschikken over meer tools dan ooit, maar toch glippen er steeds weer aanvallen door de mazen van het net. De reden hiervoor is meestal niet een gebrek aan capaciteit; afzonderlijke beveiligingstools genereren gegevens in silo’s, zonder dat er onderlinge context is. Hier gaat er een endpoint-waarschuwing af. Daar duikt er een verdachte aanmelding op. Elders blijft een afwijking in het netwerk onopgemerkt. Het kost meer tijd om alle stukjes in elkaar te passen dan de meeste teams hebben.
Extended Detection and Response (XDR) is ontwikkeld om dat probleem op te lossen. Door telemetriegegevens uit de hele omgeving samen te brengen in één detectie- en responsplatform, biedt XDR beveiligingsteams het geïntegreerde overzicht dat ze nodig hebben om bedreigingen sneller op te sporen en te reageren voordat de schade zich uitbreidt. Voor MSP's en IT-teams die werken met beperkte personeelsbezetting en een groeiend aanvalsoppervlak, is de beveiligingsstack van Kaseya, inclusief Datto EDR, Kaseya MDR en Kaseya SIEM, ontworpen om diezelfde omgevingoverschrijdende dekking te bieden zonder de complexiteit van een speciaal gebouwd XDR-platform voor ondernemingen.
Wat is uitgebreide detection and response XDR)?
Extended Detection and Response (XDR) is een beveiligingsaanpak die telemetriegegevens uit verschillende lagen van de IT-omgeving (eindpunten, netwerken, cloudworkloads, e-mail- en identiteitssystemen) samenbrengt op één platform voor detectie, onderzoek en respons. In plaats van afzonderlijke tools te beheren die elk slechts een deel van het totaalbeeld weergeven, correleert XDR gegevens uit al deze bronnen om bedreigingen aan het licht te brengen die anders verborgen zouden blijven.
De term werd in 2018 door Palo Alto Networks geïntroduceerd en is sindsdien uitgegroeid tot een van de meest besproken concepten op het gebied van bedrijfsbeveiliging. Gartner definieert XDR als een „geïntegreerd platform voor het detecteren van en reageren op beveiligingsincidenten dat automatisch gegevens van meerdere eigen beveiligingscomponenten verzamelt en met elkaar in verband brengt.” Forrester beschrijft het als "de evolutie van endpoint detection and response (EDR)", waarmee wordt erkend dat XDR is ontstaan met EDR als kern en zich vervolgens heeft uitgebreid om een groter deel van het aanvalsoppervlak te bestrijken.
In de praktijk speelt XDR vooral een cruciale rol in de periode tussen detectie en reactie. Traditionele beveiligingstools genereren meldingen afzonderlijk. Een analist kan een verdacht proces op een eindpunt zien, een vreemde authenticatiegebeurtenis in het identiteitssysteem en een ongebruikelijke uitgaande verbinding op het netwerk, zonder dat er aanwijzingen zijn dat deze drie gebeurtenissen deel uitmaken van dezelfde aanval. XDR legt automatisch verbanden tussen deze punten, stelt tijdlijnen van aanvallen op en brengt gebeurtenissen uit verschillende bronnen met elkaar in verband, zodat analisten incidenten kunnen onderzoeken in plaats van afzonderlijke meldingen.
Hoe XDR werkt
XDR werkt volgens een driestappenproces. Elke stap bouwt voort op de vorige, waardoor ruwe gegevens uit de hele omgeving worden omgezet in bruikbare, geprioriteerde incidenten.
Inlezen en normaliseren
XDR begint met het verzamelen van telemetriegegevens uit alle aangesloten beveiligingstools en gegevensbronnen. Hieronder vallen endpoint-agents, firewalls, e-mailgateways, identiteitsproviders, cloudplatforms en SaaS-toepassingen. Aangezien al deze bronnen gegevens in verschillende formaten en schema’s genereren, zet XDR alles om naar een gemeenschappelijk gegevensmodel voordat de analyse van start gaat.
Deze normalisatiestap maakt correlatie tussen verschillende bronnen mogelijk. Zonder deze stap kunnen een gebeurtenis van een endpoint-agent en een gebeurtenis van een cloud-identiteitsplatform niet op een zinvolle manier met elkaar worden vergeleken, omdat ze de werkelijkheid in onderling onverenigbare termen beschrijven. Het standaardiseren van de gegevens bij het binnenhalen vormt de basis voor alles wat daarna volgt.
Correlatie vaststellen en detecteren
Terwijl genormaliseerde gegevens vanuit de hele omgeving binnenkomen, past het XDR-platform analyses, detectieregels en machine learning-modellen toe om verdachte activiteiten te identificeren. Dit is waar XDR zijn belangrijkste voordeel ten opzichte van gescheiden tools laat zien. Detecties worden geactiveerd op basis van gecorreleerde patronen, niet alleen op basis van afzonderlijke gebeurtenissen.
Een enkele mislukte inlogpoging is onbelangrijk. Een reeks mislukte inlogpogingen vanaf een ongebruikelijke locatie, gevolgd door een succesvolle inlogpoging, gevolgd door het starten van een proces op een eindpunt waar dat account normaal gesproken geen toegang toe heeft. Dat is een incident. XDR brengt dit patroon in kaart als één enkele, in context geplaatste waarschuwing, in plaats van drie afzonderlijke gebeurtenissen die verspreid over drie verschillende dashboards verborgen blijven.
Moderne XDR-platforms maken in deze fase ook gebruik van dreigingsinformatie, waarbij de verwerkte gegevens worden vergeleken met bekende indicatoren van inbreuken en de huidige technieken van cybercriminelen die zijn gekoppeld aan het MITRE ATT&CK-raamwerk. Dit betekent dat detecties direct vanaf het moment dat ze worden geactiveerd context bevatten, waardoor analisten minder tijd kwijt zijn aan het uitzoeken wat een bepaalde waarschuwing precies inhoudt.
Onderzoek en reageer
Wanneer een gecorreleerde detectie wordt geactiveerd, biedt XDR analisten een volledig overzicht van het incident, inclusief de tijdlijn van de gebeurtenissen, de getroffen systemen en accounts, de gegevensbronnen die aan de detectie hebben bijgedragen, en voorgestelde of geautomatiseerde reactiemaatregelen. Dit is het verschil tussen reageren op een waarschuwing en reageren op een aanval.
Responsmaatregelen in XDR kunnen geautomatiseerd zijn, door analisten worden gestuurd, of beide. Veelvoorkomende geautomatiseerde maatregelen zijn onder meer het isoleren van een gecompromitteerd eindpunt van het netwerk, het blokkeren van een kwaadaardig IP-adres, het opschorten van een gebruikersaccount dat tekenen van compromittering vertoont, of het in quarantaine plaatsen van een verdacht bestand. Bij beslissingen met grotere gevolgen biedt XDR de context die analisten nodig hebben om snelle, weloverwogen keuzes te maken, in plaats van urenlang te moeten reconstrueren wat er is gebeurd.
Open XDR versus native XDR
Niet alle XDR-platforms zijn op dezelfde manier opgezet, en dat verschil is van belang bij het beoordelen of een oplossing in een bestaande omgeving past. De twee belangrijkste benaderingen zijn open XDR en native XDR.
Open XDR is ontworpen om gegevens van beveiligingstools van welke leverancier dan ook te verwerken via open API’s en kant-en-klare integraties. In plaats van een volledige vervanging van het platform te vereisen, fungeert Open XDR als een correlatie- en detectielaag bovenop de tools die een organisatie al gebruikt. Dit maakt het aanzienlijk praktischer voor omgevingen met een mix van bestaande investeringen, wat kenmerkend is voor de meeste praktijkomgevingen van MSP-klanten.
Native XDR (ook wel ‘closed XDR’ genoemd) wordt ontwikkeld en verkocht door één enkele leverancier, wiens eigen beveiligingsproducten het platform van gegevens voorzien. Detectie, onderzoek en respons vinden allemaal plaats binnen één ecosysteem. Het voordeel is een naadloze integratie, consistente gegevenskwaliteit en een eenvoudigere gebruikerservaring. Het nadeel is de beperkte flexibiliteit. Organisaties die al hebben geïnvesteerd in tools van derden die niet tot het portfolio van die leverancier behoren, kunnen het moeilijk vinden om native XDR uit te breiden.
Voor MSP’s die diverse klantomgevingen bij tientallen of honderden bedrijven beheren, is open XDR doorgaans de meest realistische keuze. Elke klant kan een andere combinatie van tools, besturingssystemen en cloudplatforms hebben. Een detectie- en responsaanpak die volledige afhankelijkheid van één leverancier vereist, is op grote schaal moeilijk te standaardiseren. Een oplossing die gegevens verzamelt uit alles wat al is geïmplementeerd, is operationeel veel beter beheersbaar.
Hoe XDR zich verhoudt tot andere detectie- en responsinstrumenten
XDR maakt deel uit van een bredere reeks detectie- en responstechnologieën die op het eerste gezicht op elkaar lijken. Hieronder wordt uitgelegd hoe XDR zich tot deze technologieën verhoudt.
XDR versus EDR
Endpoint Detection and Response (EDR) richt zich uitsluitend op eindpunten (werkstations, laptops, servers en mobiele apparaten). Het systeem houdt procesactiviteit, bestandswijzigingen, netwerkverbindingen en andere gebeurtenissen op eindpuntniveau in de gaten en kan een apparaat isoleren of een proces beëindigen als reactie op een gedetecteerde dreiging. EDR vormt doorgaans het uitgangspunt voor elk detectie- en responsprogramma en is vaak de gegevensbron voor een XDR-platform.
Het verschil zit hem in de reikwijdte. EDR registreert alles wat er op het eindpunt gebeurt. XDR registreert niet alleen het eindpunt, maar ook het netwerk, de cloud, identiteitsgegevens, e-mail en alle andere gekoppelde bronnen. Om een aanval die begint met een phishing-e-mail, via het misbruik van inloggegevens verloopt en uiteindelijk op een eindpunt wordt uitgevoerd, volledig te doorgronden, is inzicht in alle drie de lagen nodig. EDR biedt inzicht in de fase op het eindpunt; XDR biedt inzicht in het volledige proces. Zie EDR versus XDR voor een uitgebreidere toelichting.
XDR versus MDR
Managed Detection and Response (MDR) is een dienst, geen platform. MDR-aanbieders combineren detectie- en responstechnologie met een team van menselijke analisten die namens de klant toezicht houden, onderzoek doen en reageren. XDR is de onderliggende technologische aanpak; MDR is de manier waarop die capaciteit als een beheerde dienst kan worden geleverd.
In de praktijk draaien veel MDR-diensten op XDR-platforms of maken ze gebruik van XDR-achtige correlatie van gegevens uit meerdere bronnen als onderdeel van hun detectiemethodologie. Voor organisaties die zichtbaarheid op XDR-niveau willen zonder dat ze over het eigen personeel beschikken om een XDR-platform te beheren, is MDR de meest praktische oplossing. De twee vullen elkaar aan en concurreren niet met elkaar. Lees meer hierover in ons artikel over MDR versus XDR.
XDR versus NDR
Netwerkdetectie en -respons (NDR) richt zich op netwerkverkeer en analyseert datastromen, protocollen en communicatiepatronen op netwerkniveau om laterale bewegingen, gegevensdiefstal en bedreigingen voor niet-beheerde apparaten op te sporen. NDR ziet wat eindpunten niet kunnen zien, omdat het activiteiten registreert van apparaten waarop geen agent is geïnstalleerd.
XDR kan NDR als een van zijn gegevensbronnen integreren. Wanneer dat gebeurt, worden gebeurtenissen op netwerkniveau opgenomen in hetzelfde gecorreleerde incidentoverzicht als gebeurtenissen op eindpunt- en cloudniveau, waardoor analisten tegelijkertijd volledig inzicht krijgen in alle drie de lagen.
XDR versus SIEM
Security Information and Event Management (SIEM) verzamelt en correleert loggegevens uit de hele omgeving, net zoals XDR dat doet. De belangrijkste verschillen zitten in de architectuur en het doel. Traditionele SIEM-systemen zijn ontworpen voor het verzamelen van loggegevens met het oog op naleving van regelgeving en vereisten veel handmatige afstemming om bruikbare detecties te genereren. Ze genereren grote hoeveelheden waarschuwingen en laten het onderzoek en de respons doorgaans over aan het team van analisten.
XDR is speciaal ontwikkeld voor detectie en respons, met kant-en-klare correlatiemodellen, geautomatiseerd onderzoek en geïntegreerde responsmaatregelen. In plaats van logbestanden te genereren voor analyse, brengt het incidenten aan het licht waar direct actie op moet worden ondernomen. In omgevingen waar beide systemen worden ingezet, zorgt SIEM vaak voor de langdurige opslag van logbestanden en nalevingsrapportages, terwijl XDR zich bezighoudt met realtime detectie van bedreigingen en respons daarop. Zie XDR vs. SIEM voor een gedetailleerde vergelijking.
XDR versus SOAR
Security Orchestration, Automation and Response (SOAR) automatiseert de workflows die nodig zijn om op beveiligingsincidenten te reageren, coördineert acties tussen verschillende tools, voert responsprocedures uit en vermindert het aantal handmatige stappen bij triage en inperking. Waar XDR incidenten detecteert en aan het licht brengt, automatiseert SOAR de vervolgstappen. XDR bevat vaak enkele ingebouwde SOAR-achtige functies (geautomatiseerde isolatie, opschorting van accounts, blokkering), maar speciale SOAR-platforms gaan verder in het aanpassen van workflows en het coördineren van verschillende tools. In volwassen beveiligingsomgevingen worden XDR en SOAR vaak samen ingezet, waarbij XDR de detectie voor zijn rekening neemt en SOAR de gecoördineerde respons.
Voordelen van XDR
De belangrijkste reden voor XDR ligt in een praktisch probleem. Beveiligingsteams worden overspoeld met waarschuwingen van tools die niet met elkaar communiceren. XDR pakt dat probleem direct aan, en de voordelen vloeien voort uit de oplossing:
- Eén totaaloverzicht: Beveiligingsteams hebben vanuit één console inzicht in alle eindpunten, netwerken, de cloud en identiteiten. Bedreigingen die zich over meerdere lagen uitstrekken (wat steeds vaker het geval is bij de meest geavanceerde aanvallen) worden weergegeven als samenhangende incidenten, in plaats van als losstaande signalen verspreid over verschillende dashboards.
- Snellere detectie: door gegevens uit verschillende bronnen met elkaar te koppelen en kant-en-klare detectiemodellen toe te passen, brengt XDR bedreigingen aan het licht die bij handmatige controle of met tools die slechts één bron gebruiken, over het hoofd zouden worden gezien. De gemiddelde tijd die nodig is om een bedreiging te detecteren, neemt af omdat het platform het koppelingswerk verricht dat analisten anders handmatig zouden moeten doen.
- Minder alarmmoeheid: XDR filtert ruis al in de correlatiefase, door gerelateerde gebeurtenissen te groeperen tot incidenten en signalen met een lage betrouwbaarheid te onderdrukken. Analisten werken met een geprioriteerde incidentenwachtrij in plaats van een onbewerkte stroom van waarschuwingen, waardoor echte bedreigingen sneller onder de aandacht komen.
- Snellere reactie: dankzij geautomatiseerde reactieprocedures en geïntegreerde draaiboeken kan de indamming binnen enkele seconden in plaats van minuten van start gaan. Bij snel evoluerende bedreigingen zoals ransomware maakt dat verschil in snelheid een groot verschil.
- Minder operationele complexiteit: Door meerdere afzonderlijke oplossingen te vervangen door één geïntegreerde detectie- en responslaag, hoeft een team minder tools, consoles en integraties te beheren. Voor IT-teams met beperkte middelen biedt deze vereenvoudiging een concrete operationele meerwaarde.
- Een betere context voor onderzoek: wanneer er een incident plaatsvindt, toont XDR in één overzicht de volledige tijdlijn van de aanval, de getroffen systemen en de relevante gegevensbronnen. Analisten hoeven minder tijd te besteden aan het reconstrueren van wat er is gebeurd en kunnen zich daardoor sneller richten op het oplossen van het probleem.
Managed XDR: XDR als dienst
Het beheren van een XDR-platform vereist meer dan alleen het implementeren van de technologie. Er moet iemand zijn die de incidentenwachtrij in de gaten houdt, detecties onderzoekt, beslissingen neemt over de te nemen maatregelen en het platform in de loop van de tijd verder afstemt. Voor de meeste kleine en middelgrote bedrijven en veel MSP’s is het niet haalbaar om die functie 24 uur per dag intern te bemannen.
Managed XDR, ook wel XDR as a service of MxDR genoemd, biedt hiervoor een oplossing door XDR-technologie te combineren met een team van beveiligingsanalisten die het platform namens de klant beheren. De aanbieder zorgt voor continue monitoring, het beoordelen van waarschuwingen, onderzoek en respons, terwijl de klant via dashboards en rapportages inzicht behoudt. Het levert dezelfde beveiligingsresultaten op als een volledig bemand Security Operations Center (SOC), zonder dat de klant er zelf een hoeft op te zetten.
Voor MSP’s biedt managed XDR aanzienlijke kansen. In plaats van te verwachten dat elke MKB-klant zijn eigen detectie- en responsprogramma beheert, kan de MSP deze functionaliteit als een managed service aanbieden en zo de dekking voor alle klanten uitbreiden via één centraal platform. Dit model is schaalbaar op een manier die bij beheer per eindpunt of per tool niet mogelijk is.
Het sleutelbegrip waar het hier om draait is ‘managed extended detection and response’, wat specifiek verwijst naar XDR die als een uitbestede dienst wordt geleverd. Naarmate de managed services volwassen is geworden, is deze categorie snel gegroeid, aangedreven door het feit dat de meeste organisaties weliswaar zichtbaarheid op XDR-niveau nodig hebben, maar niet over het interne personeel beschikken om dit zelfstandig te realiseren.
Hoe Kaseya XDR-mogelijkheden biedt
Kaseya brengt geen product op de markt onder de naam XDR. Wat het bedrijf wel biedt, is een reeks nauw geïntegreerde beveiligingsproducten die samen de omgevingsoverschrijdende detectie- en responsmogelijkheden bieden die XDR belooft, en die zijn afgestemd op de omgevingen waarin MSP’s en IT-teams daadwerkelijk werken.
Datto EDR biedt de endpoint-laag en voert gedragsmonitoring uit op Windows, macOS en Linux, waarbij elke detectie wordt gekoppeld aan het MITRE ATT&CK-raamwerk. Dankzij meer dan 65 geautomatiseerde responsacties, ingebouwde ransomware-rollback en directe integratie met Datto RMM en Kaseya VSA wordt endpointbeveiliging geïntegreerd in dezelfde beheerworkflow die MSP’s al gebruiken.
Kaseya MDR biedt een beheerde detectie- en responslaag, waarbij beveiligingsanalisten in de VS zorgen voor continue monitoring van eindpunten, Microsoft 365 en firewalls. Dankzij AI-gestuurde correlatie wordt het aantal valse alarmen teruggebracht, zodat analisten zich kunnen concentreren op bevestigde bedreigingen. Voor MSP’s is dit een kant-en-klare beheerde SOC-oplossing die aan klanten kan worden aangeboden zonder dat er een intern team van analisten hoeft te worden opgezet.
Kaseya SIEM zorgt voor platformoverschrijdende correlatie en logboekbeheer, waarbij telemetrie van eindpunten en cloudapplicaties wordt gebundeld in één dashboard met meer dan 60 ingebouwde koppelingen en een bewaartermijn van 400 dagen voor logboeken. Het vormt een aanvulling op Kaseya MDR door te zorgen voor logboekaggregatie en rapportage over naleving, terwijl MDR zich bezighoudt met realtime detectie en respons.
XDR draait in wezen om zichtbaarheid. Hoe meer inzicht een beveiligingsteam in de omgeving heeft, hoe sneller en nauwkeuriger het bedreigingen kan opsporen en erop kan reageren. Of dat inzicht nu afkomstig is van een speciaal XDR-platform of van een geïntegreerde reeks op maat gemaakte tools, het gaat om het eindresultaat. De beveiligingssuite van Kaseya is ontwikkeld om dat resultaat haalbaar te maken voor de teams die het het hardst nodig hebben en zich de minste fouten kunnen veroorloven.
