MDR (Managed Detection and Response, управляемое обнаружение и реагирование) — это услуга внешней команды безопасности: она собирает события с ваших серверов, рабочих мест и сетей, разбирает подозрительные цепочки и реагирует на подтверждённые инциденты в заранее согласованном порядке. От антивируса сервис отличается тем, что ищет не вредоносные файлы, а необычное поведение, и за каждой тревогой стоит живой аналитик.
Коротко
MDR продают как услугу, а не как программу: клиент получает не консоль с оповещениями, а работающую службу наблюдения с ответственностью по договору. Внутри всегда три части.
Без третьей части сервис превращается в поток оповещений, который никто не читает. Именно работа людей отличает MDR от набора купленных инструментов.
Эти слова часто ставят в один ряд, хотя обозначают они разное: SIEM и EDR — инструменты, SOC — подразделение, MDR и MSSP — способы купить работу снаружи.
| Название | Чем является | Что делает | Кто работает |
|---|---|---|---|
| EDR и XDR | Программа | Собирает и анализирует события на конечных устройствах; XDR — ещё и в почте, сети и облаке | Ваши специалисты |
| SIEM | Программа | Хранит журналы из всех систем и ищет в них подозрительные цепочки по правилам | Ваши специалисты |
| SOC | Подразделение | Следит за событиями и реагирует на инциденты в постоянном режиме | Штатная команда компании |
| MSSP | Услуга | Обслуживает средства защиты: настройка, обновления, доступность | Подрядчик |
| MDR | Услуга | Обнаруживает инциденты и реагирует на них: от расследования до изоляции машины | Подрядчик |
Отсюда и выбор: инструменты без людей дают поток оповещений, люди без инструментов не видят событий, а собственный центр мониторинга окупается только при большом масштабе. MDR закрывает разрыв между «у нас есть антивирус» и «у нас есть своя служба мониторинга».
Антивирус защищает конкретную машину от известного вредоносного ПО и работает автоматически. Сервис мониторинга смотрит шире.
Пример Сотрудник ввёл пароль на поддельной странице. Антивирус нарушения не видит: в систему вошли с правильным логином и паролем. Мониторинг замечает другое — вход в три часа ночи с незнакомого устройства, а следом выгрузку всей клиентской базы. Ради таких цепочек сервис и подключают.
Антивирус при этом никуда не девается: он остаётся базовым средством защиты рабочих мест, а мониторинг добавляет к нему контекст и разбор человеком. Типовые причины утечек и то, с чего они начинаются, мы описали в статье о рисках утечки персональных данных.
Между записью в журнале и звонком ответственному лежит несколько шагов, и каждый стоит проговорить с подрядчиком до подключения.
Порядок реагирования согласуют заранее и фиксируют в договоре — в критический момент времени на переговоры уже нет.
Дальше начинается восстановление систем и данных: резервные копии, очерёдность сервисов, допустимое время простоя. Об этом мы написали отдельно в статье о восстановлении IT-систем после сбоев.
Режим работы — главный параметр, от которого зависят и польза сервиса, и его цена. Атакующие выбирают время, когда за системами никто не следит.
Круглосуточная смена аналитиков стоит дороже всего. Промежуточный вариант — наблюдение в рабочие часы и автоматические действия ночью: блокировка учётной записи, изоляция машины и звонок дежурному по заранее описанному сценарию.
Выбирать режим стоит по последствиям простоя. Если остановка продаж или производства на ночь — это потерянные деньги и сорванные обязательства, платить за круглосуточное наблюдение разумно. Если ночью системы всё равно не работают, хватит режима рабочих часов с автоматической реакцией на критичные события.
Мониторинг продают словами «мы следим за вашей безопасностью», а проверить его можно только по договору. В нём должны быть ответы на такие вопросы.
Отдельно проверьте, что подрядчик показывает не число «отражённых атак», а понятные вещи: сколько тревог разобрали, сколько подтвердили, за какое время и что после этого поменяли в настройках.
Для большинства компаний мониторинг — добровольная мера, но для части бизнеса требования заданы законом. Закон «О кибербезопасности» № ЗРУ-764 от 15 апреля 2022 года действует с 17 июля 2022 года, а уполномоченный орган в этой сфере — Служба государственной безопасности.
Владельцы объектов критической информационной инфраструктуры обязаны уведомлять уполномоченный орган об инцидентах и содействовать выявлению кибератак. Порядок задаёт постановление ПП-167 от 31 мая 2023 года с приложениями о порядке обеспечения кибербезопасности таких объектов и общих требованиях к ней. Государственные органы без собственного подразделения кибербезопасности могут привлекать только подрядчиков из специального реестра — об этом правиле мы написали в статье о тестировании на проникновение.
Ещё один вопрос — персональные данные. Подрядчик по мониторингу видит журналы, а в них имена сотрудников, адреса почты и действия с клиентскими записями. Такая передача подпадает под Закон «О персональных данных» № ЗРУ-547: состав передаваемых данных, цель и обязанности подрядчика описывают в договоре, а ответственность перед клиентами остаётся на компании.
Цена зависит от числа узлов и источников событий, режима работы и того, какие действия подрядчик выполняет самостоятельно. Считать её стоит вместе со стоимостью простоя: сутки остановленных продаж часто дороже месяца наблюдения.
У Syntra Systems это услуга мониторинга и реагирования — от 800 $ в месяц. Мы настраиваем сбор событий с серверов, сетей и рабочих мест, определяем, что считается подозрительным именно в вашей инфраструктуре, ведём мониторинг и реагирование по согласованному регламенту, присылаем понятный отчёт о том, что происходило и что мы сделали, и раз в квартал проверяем защиту заново.
Слово MDR на страницах услуг мы не используем: состав работ и режим описаны прямо и закреплены в договоре. Если непонятно, с чего начинать, разумнее сначала заказать аудит информационной безопасности от 1 200 $ — он покажет, что подключать к мониторингу в первую очередь. Состав работ — на странице кибербезопасности для бизнеса, а как выстроить вокруг этого роли и регламенты — в статье о внедрении СУИБ.
Обсудим вашу задачу
Расскажите, что нужно сделать, — оценим сроки и стоимость и предложим решение.
Антивирус остаётся: он защищает рабочие места и сам блокирует известные вредоносные программы. Мониторинг добавляет другое — наблюдение за всей инфраструктурой, связывание событий из разных систем и разбор каждой подозрительной цепочки живым аналитиком.
SIEM — это программа: она хранит журналы и ищет в них подозрительные цепочки по правилам, но работать с ней должны ваши специалисты. MDR — услуга, в которую входят и инструменты, и аналитики, и обязательства по времени реакции, записанные в договоре.
Достаточно ответственного за взаимодействие: он согласует действия, принимает решения на стороне бизнеса и знает, кого поднимать ночью. Экспертизу обнаружения и разбора берёт на себя команда сервиса, но решения об остановке систем принимает компания.
Массовые атаки не выбирают жертв по размеру: сканеры перебирают доступные адреса подряд, а вход по украденному паролю выглядит одинаково в компании на десять и на тысячу человек. Небольшие компании обычно защищены слабее и поэтому оказываются более лёгкой целью.
Цена зависит от числа узлов и источников событий, режима работы и того, какие действия подрядчик выполняет самостоятельно. В Syntra Systems мониторинг и реагирование по согласованному регламенту стоят от 800 $ в месяц, а аудит информационной безопасности — от 1 200 $.
Журналы систем, а в них имена и учётные записи сотрудников, адреса почты, адреса устройств и действия с клиентскими записями. Это персональные данные, поэтому их состав, цель передачи, срок хранения и обязанности подрядчика нужно описать в договоре.
Для большинства компаний нет. Отдельные обязанности возникают у владельцев объектов критической информационной инфраструктуры по закону о кибербезопасности и постановлению ПП-167: они уведомляют уполномоченный орган об инцидентах и содействуют выявлению кибератак.
