Extended Detection and Response (détection et réponse étendues)
Qu’est-ce que le XDR (Extended Detection and Response)?
Le XDR est une catégorie de sécurité qui met en corrélation les signaux de détection provenant des postes, de l’identité, du courriel, du réseau et des charges de travail infonuagiques pour repérer les menaces et y répondre avec un contexte plus large que celui de l’EDR limité aux postes. Lavawall® offre une couverture de classe XDR, multilocataire par conception.
Commencer gratuitement, sans carte de crédit Voir comment cela fonctionne
Postes · identité · courriel · réseau · nuage · corrélation entre les couches
Définition
Le XDR s’est développé en réponse aux limites de l’EDR limité aux postes. Les attaquants modernes recourent de plus en plus à la compromission d’identité, à l’abus de M365 et du nuage et à l’accès initial par courriel : des vecteurs que la détection purement axée sur les postes manque. Le XDR tire des signaux de détection de plusieurs couches et les met en corrélation pour produire des incidents plus fiables.
Les produits XDR se divisent en deux camps. Les produits « XDR natifs » intègrent étroitement les propres capteurs EDR, d’identité, de courriel et de nuage du fournisseur (par exemple Microsoft Defender XDR, SentinelOne Singularity XDR, CrowdStrike Falcon XDR). Les produits « XDR ouverts » intègrent des capteurs tiers par API et établissent des corrélations entre eux (par exemple Palo Alto Cortex XDR, Stellar Cyber).
La catégorie recoupe le SIEM, le SOAR et la détection et réponse gérées (MDR), mais la caractéristique distinctive du XDR est une corrélation entre les couches conçue comme un produit cohérent plutôt que comme une configuration dans un SIEM.
Composantes principales
- Détection sur les postes (EDR). La couche de détection comportementale sur les postes.
- Identity Threat Detection and Response (ITDR). Détection dans les systèmes d’identité, y compris Microsoft Entra ID, Okta et Active Directory.
- Sécurité du courriel. Détection de l’hameçonnage, de la compromission de courriels d’affaires et des logiciels malveillants transmis par courriel.
- Détection réseau (NDR). Analyse du trafic réseau pour repérer les déplacements latéraux et les communications de commande et de contrôle.
- Protection des charges de travail infonuagiques (CWP). Détection dans les charges de travail IaaS (AWS, Azure, GCP).
- Moteur de corrélation. Corrélation d’événements entre les couches pour produire des incidents à partir de signaux provenant de plusieurs couches.
Pourquoi c’est important
Les attaques modernes respectent rarement la frontière entre les postes, l’identité et le nuage. Un attaquant qui hameçonne des identifiants, inscrit une application OAuth malveillante et exfiltre des fichiers par le partage M365 est invisible pour l’EDR des postes. Le XDR repère le motif qui traverse les couches.
Pour les FSG, la catégorie XDR répond précisément au besoin de détection multilocataire dans de nombreux environnements clients. La corrélation entre les couches réduit le volume de faux positifs et rend plus productif le temps rare des techniciens.
Les évaluations de cyberassurance et les audits de la CMMC 2.0 et du NIST CSF posent de plus en plus de questions sur les capacités de détection entre les couches. La couverture XDR fait partie de la réponse.
Comment Lavawall® vous aide avec le XDR
Lavawall® comprend des capacités de classe XDR : ITDR M365 / Entra ID / Azure avec corrélation avec les postes, ITDR Google Workspace, recherche d’indicateurs du rançongiciel Akira, coexistence et surveillance de l’état des antivirus et EDR, et évaluation des vulnérabilités de configuration sur les postes et les locataires infonuagiques.
Lavawall® est multilocataire par conception; la corrélation entre les couches s’exécute donc par locataire avec une isolation appropriée. La réduction des faux positifs, par exemple l’élimination des faux positifs de déplacement impossible en les corrélant avec les postes connus de l’utilisateur, est intégrée à la plateforme.
Pour les FSG qui veulent une couche de SOC géré en complément, Huntress, Blackpoint et d’autres fournisseurs de MDR semblables s’intègrent à Lavawall®, et leurs incidents apparaissent dans la console Lavawall®.
Commencer gratuitement → Associer les contrôles avec l’assistant GRC
Questions fréquentes
- Le XDR est-il la même chose que l’EDR?
- Non. L’EDR est axé sur le poste de travail. Le XDR étend la détection aux sources des postes, de l’identité, du courriel, du réseau et du nuage grâce à une corrélation entre les couches.
- Le XDR est-il la même chose que le MDR?
- Non. Le MDR est un service : un SOC en activité 24 h sur 24, 7 jours sur 7 qui exploite la détection et la réponse pour le compte du client. Le XDR est une catégorie de technologie. Les deux se combinent souvent : le XDR géré est une catégorie.
- Lavawall® est-il un XDR?
- En partie. Lavawall® est un RMM multilocataire qui comprend des capacités de classe XDR (ITDR M365, recherche d’indicateurs de rançongiciel, corrélation antivirus/EDR), et il couvre aussi l’application des correctifs, la GRC, l’élévation des privilèges d’administrateur, le centre d’assistance et le soutien à distance.