本文來(lái)自微信公眾號(hào)“安全牛”。
XDR（可擴(kuò)展威脅檢測(cè)和響應(yīng)）一直被譽(yù)為解決安全威脅檢測(cè)孤島問(wèn)題的“瑞士軍刀”方案。相比傳統(tǒng)的單點(diǎn)式威脅檢測(cè)工具，它代表了一種較先進(jìn)的安全技術(shù)理念，旨在實(shí)現(xiàn)多種威脅檢測(cè)能力的集成和融合，并成為能夠上下聯(lián)動(dòng)、前后協(xié)同的有機(jī)整體。
不過(guò)盡管XDR的技術(shù)理念聽(tīng)起來(lái)很棒，但是在實(shí)際應(yīng)用時(shí)，如何保障對(duì)各種單點(diǎn)能力整合的有效性卻并不容易。這是因?yàn)槟壳皹?biāo)準(zhǔn)化的XDR方案需要從多個(gè)安全工具或傳感器探針捕獲威脅數(shù)據(jù)，并將這些數(shù)據(jù)處理為XDR威脅分析引擎可以理解的標(biāo)準(zhǔn)化數(shù)據(jù)格式。考慮到這些數(shù)據(jù)的復(fù)雜性、時(shí)效性和不一致性，目前大多數(shù)的XDR方案都還不能像廠商宣傳的那樣，高效、準(zhǔn)確、快速地執(zhí)行威脅檢測(cè)工作。
為了提升XDR方案的實(shí)際可用性，一些安全廠商目前正在積極研發(fā)并推廣基于SASE（安全訪問(wèn)服務(wù)邊緣）的新型XDR解決方案（SASE-based XDR），從云原生的角度提升XDR的威脅檢測(cè)性能。SASE是一種將安全性和網(wǎng)絡(luò)應(yīng)用融合到云端的創(chuàng)新方法，其應(yīng)用特點(diǎn)似乎天然適合與XDR威脅檢測(cè)服務(wù)應(yīng)用集成，因?yàn)镾ASE平臺(tái)中本身就存在了許多原生化的探針傳感器。在Gartner對(duì)SASE定義中，也談到了SASE平臺(tái)除了需要包含SD-WAN、SWG、CASB、NGFW等必需功能外，還可以包括一些高級(jí)安全功能，例如遠(yuǎn)程瀏覽器隔離、網(wǎng)絡(luò)沙箱以及XDR檢測(cè)服務(wù)等。
與標(biāo)準(zhǔn)XDR方案不同，基于SASE的XDR不再需要連接復(fù)雜的單點(diǎn)檢測(cè)設(shè)備，而是從內(nèi)置于SASE平臺(tái)的本地傳感器以及第三方傳感器捕獲威脅數(shù)據(jù)，并將這些數(shù)據(jù)存儲(chǔ)到統(tǒng)一的數(shù)據(jù)湖中。因此，對(duì)基于SASE的XDR方案而言，不需要再對(duì)原始數(shù)據(jù)進(jìn)行清洗就可以快速、及時(shí)地獲得高質(zhì)量的可用數(shù)據(jù)。這一特點(diǎn)使得基于SASE的XDR方案有望成為現(xiàn)有XDR方案的改變者。
如之前所述，標(biāo)準(zhǔn)化的XDR方案在實(shí)際應(yīng)用時(shí)會(huì)面臨難以解決的數(shù)據(jù)質(zhì)量限制，其在規(guī)范化和理解安全數(shù)據(jù)的過(guò)程中可能會(huì)丟失關(guān)鍵的威脅信息，這樣無(wú)疑會(huì)影響到威脅檢測(cè)的準(zhǔn)確性和事件響應(yīng)效率。而在SASE平臺(tái)的支撐和幫助下，新一代XDR方案的實(shí)際應(yīng)用性能會(huì)得到顯著增強(qiáng)，因?yàn)樗塬@取到更高質(zhì)量的源數(shù)據(jù)，而高質(zhì)量的數(shù)據(jù)也可以訓(xùn)練出更準(zhǔn)確的AI/ML威脅檢測(cè)模型，從而提升威脅關(guān)聯(lián)、檢測(cè)和響應(yīng)威脅事件的能力。
基于SASE的XDR不僅可以是一個(gè)獨(dú)立的安全產(chǎn)品，還可以作為更廣泛SASE云服務(wù)的一部分。它可以充分利用SASE平臺(tái)的所有資源：傳感器、分析模型、配置工具等，從而有效解決傳統(tǒng)XDR工具應(yīng)用時(shí)的局限性。對(duì)于企業(yè)用戶而言，應(yīng)用基于SASE的XDR方案可獲得以下價(jià)值優(yōu)勢(shì)：
·云原生優(yōu)勢(shì)：SASE平臺(tái)的云原生架構(gòu)具有更好的可擴(kuò)展性和靈活性，能夠高效地滿足各種規(guī)模企業(yè)用戶的XDR應(yīng)用需求。此外，基于統(tǒng)一的SASE平臺(tái)可確保一致性的XDR能力集成體驗(yàn)，減少應(yīng)用時(shí)的兼容性問(wèn)題，同時(shí)還可以簡(jiǎn)化對(duì)客戶端的管理復(fù)雜度；
·快速創(chuàng)新和部署：基于云原生系統(tǒng)的敏捷性，可實(shí)現(xiàn)快速的新功能更新和版本迭代。這意味著企業(yè)用戶可以更及時(shí)地獲取到最新威脅檢測(cè)技術(shù)能力，在快節(jié)奏的網(wǎng)絡(luò)攻防對(duì)抗博弈中保持領(lǐng)先地位；
·簡(jiǎn)化管理：通過(guò)SASE平臺(tái)的集成應(yīng)用，可以幫助企業(yè)安全團(tuán)隊(duì)降低日常安全運(yùn)營(yíng)工作的復(fù)雜性。這意味著企業(yè)用戶的支持成本和資源需求更低，使他們能夠?qū)Ｗ⒂谄渌龠M(jìn)業(yè)務(wù)發(fā)展的戰(zhàn)略領(lǐng)域；
·與新技術(shù)發(fā)展趨勢(shì)保持一致：基于SASE的XDR依托了云原生建設(shè)模式，能夠支持企業(yè)用戶從預(yù)算支出沉重的本地模式向更靈活的目標(biāo)管理模式轉(zhuǎn)變，這與組織不斷變化的數(shù)字化轉(zhuǎn)型需求和IT技術(shù)應(yīng)用演變趨勢(shì)高度吻合的；
·應(yīng)用靈活性：SASE平臺(tái)的服務(wù)全面性可以為企業(yè)組織提供更多的可選擇性。企業(yè)可以在應(yīng)用XDR方案的同時(shí)，輕松擴(kuò)展其所需要的服務(wù)范圍，這樣也為安全服務(wù)提供商創(chuàng)造了更多增加收入來(lái)源的途徑。
據(jù)網(wǎng)絡(luò)安全廠商Cato Networks最新開(kāi)展的用戶調(diào)查數(shù)據(jù)顯示表明，超過(guò)半數(shù)的受訪組織都對(duì)使用XDR和SASE相結(jié)合的威脅檢測(cè)技術(shù)表示出興趣。而考慮到現(xiàn)有XDR方案所面臨的應(yīng)用挑戰(zhàn)和局限性，企業(yè)組織評(píng)估試用基于SASE的XDR解決方案是非常有必要的。
