Определяне на границите на MDR услугата

Какво е включено, къде се прехвърля отговорността и какво остава извън обхвата.

Обобщение

Границите на една MDR (Managed Detection and Response – управлявано откриване и реакция) услуга определят повече от това кои технологии се наблюдават.

Те показват какво покрива услугата, кои дейности се извършват от доставчика, докъде се простират правомощията за реакция, кои зависимости остават при клиента и къде се прехвърля отговорността между MSP, backend SOC и клиента.

За MSP (Managed Service Provider – доставчик на управлявани услуги) определянето на тези граници преди onboarding намалява неяснотите при предоставянето на услугата и дава на търговските и техническите екипи общо разбиране за нейния обхват.

Всяка услуга има нужда от ясни граници

Едно MDR предложение може да включва 24/7 наблюдение, разследване, активно търсене на заплахи, реакция, ескалация и комуникация при инциденти.

Всяка от тези възможности обаче има своите граници.

Наблюдението зависи от свързаните източници на данни. Разследването зависи от наличната телеметрия. Реакцията зависи от техническите интеграции и договорените правомощия. Ескалацията зависи от определени контакти и процедури.

Затова границите на MDR услугата не могат да бъдат описани само чрез списък с възможности.

Трябва да бъде ясно къде се прилагат тези възможности и при какви условия.

Започнете с покритието

Първата граница е техническото покритие.

MDR услугата може да има видимост върху крайни устройства, идентичности, имейл, облачна инфраструктура, технологии за мрежова сигурност, приложения тип Софтуер като услуга (Software as a Service, SaaS) и избрани логове.

Покритието обаче трябва да бъде конкретно.

Например твърдението, че MDR услугата покрива „облака“, не показва непременно кои среди, акаунти, workloads или източници на данни са свързани.

Същото важи за крайните устройства, идентичностите и мрежовата инфраструктура.

Добре дефинираната услуга трябва да показва:

• кои среди и технологии се наблюдават;
• кои източници на данни са необходими;
• кои интеграции са включени;
• какво остава извън обхвата на услугата.

Така очакванията към услугата не надхвърлят нейното реално оперативно покритие.

Определете границата на разследването

Откриването не означава автоматично, че всеки сигнал получава еднакво ниво на разследване.

Услугата трябва да определя какво се случва след идентифициране на значима активност.

SOC (Security Operations Center – Център за операции по сигурността) валидира ли събитието?

Корелира ли допълнителна телеметрия?

Анализаторът разследва ли засегнатата идентичност, крайно устройство или среда?

В кой момент разследването преминава към ескалация към MSP или клиента?

Целта не е в описанието на услугата да бъдат документирани всички процедури на анализаторите. Трябва да бъде ясно какво ниво на разследване услугата поема като отговорност.

Определете границата на реакцията

При реакцията границите на услугата стават особено важни.

MDR доставчикът може технически да има възможност да изолира крайно устройство, да прекрати сесия, да деактивира акаунт или да блокира индикатор. Това не означава автоматично, че всяко действие е разрешено във всяка клиентска среда.

Оперативният модел трябва да разграничава:

• действия, които могат да бъдат предприети незабавно;
• предварително разрешени действия при определени условия;
• действия, които изискват одобрение от клиента;
• действия, които остават изцяло отговорност на клиента.

Това е особено важно, когато ограничаването на инцидента може да засегне критични бизнес системи или операции.

Възможността за реакция показва какво е технически възможно.

Правомощието за реакция определя какво услугата реално има право да направи.

Направете зависимостите видими

Някои елементи от предоставянето на MDR зависят от условия извън директния контрол на доставчика.

Например:

• наличността и качеството на телеметрията;
• правилното внедряване на необходимите агенти или интеграции;
• достъпът до съответните системи;
• актуалните контакти от страна на клиента;
• навременното одобрение за ограничени действия по реакция;
• дейности по отстраняване на последствията, които остават при клиента.

Тези зависимости не трябва да остават подразбиращи се.

Ако дадена цел за реакция зависи от одобрение на клиента, това влияе върху начина, по който целта трябва да бъде разбирана. Ако разследването зависи от източник на данни, който не е интегриран, това влияе върху наличната видимост.

Ясното посочване на зависимостите създава по-точен модел на услугата.

Определете къде се прехвърля отговорността

При партньорски MDR модел могат да участват няколко страни:

MSP → Backend SOC → Клиент → Технологичен доставчик

Клиентът може да вижда една услуга, но оперативната отговорност да преминава между различни екипи по време на инцидент.

Например backend SOC може да извършва разследването и да препоръчва или предприема действия за ограничаване. MSP може да отговаря за комуникацията с клиента. Клиентът може да запази правомощието за определени действия, които засягат критични бизнес системи.

Важно е да бъде ясно кога отговорността преминава към следващата страна.

Когато работата на един екип приключи, следващата отговорна страна трябва да бъде определена.

Обхватът включва и това, което не е част от услугата

Добре дефинираната услуга не е необходимо да покрива всичко.

Но изключенията трябва да бъдат ясни.

Дейности като пълна дигитална криминалистика, reverse engineering на зловреден софтуер, дългосрочно отстраняване на последствията, възстановяване, регулаторно докладване или реакция на място могат да останат извън стандартния MDR обхват в зависимост от модела на услугата.

Ясното посочване на изключенията не намалява стойността на услугата.

То предотвратява приемането, че съседни дейности по сигурността са част от MDR, когато те не са дефинирани като част от услугата.

Гледната точка на MSP

За MSP границите на услугата свързват това, което се предлага на клиента, с това, което реално може да бъде предоставено.

Търговските екипи трябва да разбират същия обхват, зависимости и ограничения като екипите, които отговарят за оперативното изпълнение.

В противен случай малки разлики във формулировките могат да доведат до значителни разлики в очакванията.

Ясно определените граници създават обща отправна точка за позициониране, onboarding, предоставяне на услугата, ескалация и комуникация с клиента.

Гледната точка на DIAMATIX

В DIAMATIX разглеждаме границите на услугата като част от оперативния модел на MDR.

При партньорски модел MSP, DIAMATIX SOC и клиентът могат да имат различни отговорности, но те трябва да функционират като една координирана услуга.

Ясният обхват, определените правомощия за реакция, известните зависимости и договорените пътища за ескалация създават основата за това.

С MDR 360° Powered by DIAMATIX SOC MSP партньорите могат да разширят своето предложение за управлявана сигурност с 24/7 SOC операции, като запазят отношенията с клиента и определят модел на услугата, който отговаря на техния бизнес.

Заключение

Границите на MDR услугата трябва да дават отговор на три практически въпроса:

Какво покрива услугата?
Какви действия има право да предприема?
Къде отговорността преминава към друга страна?

Когато тези граници са определени преди onboarding, услугата става по-лесна за позициониране, предоставяне и оценяване.

Когато останат неясни, разликите обикновено стават видими в най-неподходящия момент. Когато инцидентът изисква действие.

Разгледайте MDR as a Managed Service

Тази статия е част от серията MDR as a Managed Service, в която разглеждаме как MDR възможностите се превръщат в оперативно предоставяне на услугата и стойност за клиента.

Разгледайте предишните статии и практически ресурси в MSP Insights & Resource Library 

MDR 360° за MSP партньори

Нуждаете се от допълнителен оперативен капацитет зад вашата управлявана услуга за сигурност?

MDR 360° Powered by DIAMATIX SOC осигурява на MSP партньорите 24/7 наблюдение, разследване, активно търсене на заплахи, реакция, ескалация и комуникация при инциденти.

Разгледайте MDR 360° Powered by DIAMATIX SOC →