Managed Detection and Response: bepaal de juiste balans voor jouw bedrijf

Daarnaast is er SOAR voor automatische reacties en het nieuwste lid, XDR, dat AI gebruikt om dreigingen op te sporen en aan te pakken.

Elke van deze technologieën heeft zijn voordelen, maar vereist ook een investering van tijd en moeite om echt uit te blinken. Zelfs wanneer je het als onderdeel van een dienst aanschaft, zul je nog steeds tijd moeten investeren met jouw leverancier om het opsporen van dreigingen te optimaliseren en om real-world scenario's op maat voor jouw bedrijf te ontwikkelen.

Ons recente onderzoeksrapport Security Navigator 2024 biedt een overzicht van hoe MDR je helpt bij het behalen van jouw zakelijke doelen en hoe snel je resultaten boekt.

Vind de juiste balans

Om optimaal te kunnen profiteren van de kracht van MDR, is de juiste opstelling vereist. EDR vereist een klein stukje software dat op ieder apparaat geïnstalleerd moet worden. Dit kan eenvoudig of lastig zijn, afhankelijk van jouw IT-situatie. En je moet dit afstemmen met je privacyteam en de ondernemingsraad, omdat je apparaten in de gaten houdt. NDR moet fysiek worden geïnstalleerd en aangesloten op de netwerkhardware, wat ingewikkeld kan worden als jouw netwerk een doolhof is van segmenten en switches.

En dan is er SIEM, dat je logbestanden nodig heeft, maar het kiezen van welke en ervoor zorgen dat ze de juiste informatie bevatten, is cruciaal. Waar wil je op letten? Ondanks dat SIEM hier ervaren in is, betekent ouder niet altijd beter om mee te beginnen. Wees ervan bewust dat SIEM-oplossingen, zoals Microsoft Azure Sentinel, vaak kosten in rekening brengen op basis van de hoeveelheid ingesloten loggegevens, wat kan variëren en mogelijk kan leiden tot onverwachte, en soms hoog oplopende, kosten.

Elke van deze technologieën komt standaard met scenario's waar ze naar op zoek zijn, zoals wanneer jouw e-mailserver begint te communiceren met een online bestandsdelingsdienst - dat hoort meestal niet bij zijn taken. Dus, je krijgt een waarschuwing en dan is het aan jou om uit te zoeken of het een echt probleem is of gewoon een vals alarm. Misschien haalt jouw IT-medewerker inderdaad een keer per maand bestanden uit de cloud - dat is normaal voor jou, dus geen alarm. En als het gewoon iemand van marketing is die advertentieontwerpen downloadt, dan is dat een vals alarm. Dit is wat we "tuning" noemen - het systeem aanpassen om te weten wat normaal is voor jou.

Ook monitoring is persoonlijk. Stel dat je niet wilt dat buitenstaanders rechtstreeks toegang krijgen tot je netwerk, maar altijd door een beveiligde controlepost moeten gaan. Je MDR-service kan dan speciale regels instellen om eventuele overtreders te betrappen. Deze speciale regels (gebruikscases) zullen wel moeten worden gemaakt.

Het omgaan met meldingen

In Security Navigator 2024 hebben we grote hoeveelheden data geanalyseerd om te zien hoeveel waarschuwingen daadwerkelijke incidenten waren in vergelijking met valse alarmen. Je wilt het aantal valse alarmen laag houden, omdat ze tijdverspillers zijn. Het blijkt dat EDR meestal accuraat is, en meer nauwkeurige waarschuwingen geeft dan de rest.

Wanneer we het hebben over je applicaties en netwerkapparatuur, zijn de zaken niet zo uniform. Je MDR kan dan overspoeld worden met valse alarmen, als het die in de gaten houdt. En als je IT-omgeving voortdurend verandert, zullen jouw maatwerk scenario's voortdurende updates nodig hebben - dat is veel werk aan jouw kant.

Je wilt je SIEM niet zomaar overdragen aan een MDR-dienst en het daarbij laten. Je zult je mouwen moeten opstropen en betrokken moeten zijn, vooral als je bedrijf serieus is over cyberbeveiliging, een stabiele omgeving heeft, en je de tijd hebt om samen te werken met je managed security dienstverlener.

Beginnen met EDR is minder lastig. Het vereist minder aanpassingen omdat besturingssystemen zoals Windows, MacOS en Linux meer gestandaardiseerd zijn. Je kunt het aantal valse alarmen nog verder verminderen door XDR in te zetten, met zijn AI-intelligentie. En als je EDR combineert met NDR, nog beter!

Het reageren op meldingen is een ander verhaal. Daar komt SOAR om de hoek kijken, met zijn playbooks. Dit zijn als het ware de handleidingen die precies beschrijven hoe je omgaat met ieder type alarm. Ook dit is volledig op maat gemaakt en afhankelijk van hoe jouw bedrijf werkt. 

XDR en sommige EDR-oplossingen die AI-aangedreven reacties bieden zorgen voor wat onduidelijkheid. Zelfs met veel testen blijft het laten nemen van belangrijke beslissingen, zoals het uitschakelen van een systeem, door AI iets waar velen voorzichtig mee zijn.

Conclusie

Samenvattend kun je stellen dat het een goed idee is om te starten met EDR wanneer je nieuw bent op het gebied van MDR. Voeg XDR en AI toe om te leren hoe je omgaat met waarschuwingen. Breng later NDR binnen als je apparaten hebt waarop geen agent kan worden geïnstalleerd. Naarmate je hier beter in wordt, voeg je SIEM en SOAR toe.

Jouw ideale leverancier van Managed Detection and Respons moet een gids zijn die je helpt groeien op het gebied van beveiliging. Maar ook een zakelijke partner die jou helpt om in vertrouwen digitaal te versnellen. Bel ons gerust of stuur een bericht, om samen een routekaart op te stellen voor MDR-technologie en -diensten die aansluiten bij jouw huidige en toekomstige organisatie.