什么是托管式侦测与响应 (MDR)？
什么是 MDR 安全
在网络安托管式侦测与响应 (MDR) 是一项由专家提供的 24/7 全天候托管服务，专注于侦测并响应那些仅靠技术解决方案无法阻止的网络攻击。通过将人类专业知识与保护技术和先进的机器学习模型相结合，MDR分析师可以侦测、调查并消除先进的人类发起的攻击，从而防止数据泄露和勒索软件。
为什么需要 MDR？
仅靠技术手段无法阻止所有攻击。如今，资金充足的攻击敌手会利用被盗凭据、安全配置错误以及合法的 IT 安全工具来规避传统的网络防御机制，并不断演化其攻击战术。
大多数组织无法自行维持 24/7 全天候的威胁监控。这就是为什么不少组织转向托管式安全服务，并与托管式侦测与响应（MDR）公司合作，以获得针对高级威胁的全天候由专家提供的防护。
对 MDR 服务的需求正在迅速上升，Gartner 预测，到 2025 年，半数组织将采用 MDR 服务。
MDR 的优势
尽管每项 MDR 服务各有不同，但大多数都包括以下核心功能和优势：
借助大规模专业能力提供卓越的网络防御
大规模的威胁情报 - 组织利用来自全球网络的 MDR 洞察信息，能够掌握单一组织无法独自获得的对攻击和事件的可见性。
全天候威胁侦测与响应
MDR 可作为您团队的延伸，提供全天候的威胁侦测与响应，无需增加人力资源。
专家主导的威胁猎捕团队
全面的事件响应意味着，通过自动化与人工专业知识相结合，以快速调查、验证并压制威胁，从而彻底消除威胁。
主动式威胁响应
攻击在扩散前即被遏制，并通过根本原因分析防止其再次发生。持续的健康状态检查有助于维持稳健的安全状态。
对安全状态抱有信心
启用 MDR 的客户可以安心无忧，因为有熟練的专业人员在管理其防御体系，同时还能节省时间、减轻疲劳感。
弥合技能差距
无需面对竞争激烈的招聘市场，即可获得专门的网络安全人才。释放内部 IT 和安全团队能够专注于战略性任务。
提高安全投资回报率
无需承担完整安全运营中心（SOC）人力开销，都获得企业级的防护能力。
降低网络风险与网络保险成本
MDR 有助于满足关键的网络保险要求，从而优化保障范围并保费。它还能降低代价高昂的安全事件风险 - 2021 年，勒索软件的平均补救成本为 140 万美元 - 这使得预防成为一种明智的投资。
集成的便捷性
MDR 解决方案可与您的现有工具无缝集成 – 可增强可见性，简化工作流，并最大限度地提升您当前安全投资的价值。
广泛的行业适配性
MDR 深受医疗保健、IT、零售等行业组织的信赖 - 它可灵活扩展，以满足任何环境的需求。
MDR 服务如何运作？
侦测与响应过程的六个主要步骤：
- 收集：从您的整个 IT 环境中收集安全遥测数据，包括端点、防火墙、网络、云、电子邮件和身份辨识解决方案。分析师看到的越多，他们的响应就越快。
- 威胁侦测：应用威胁情报和业务背景信息来识别可疑活动。相关的安全事件被聚合在一起，以简化调查流程并减少警报疲劳。
- 威胁追踪：技术娴熟的分析师会主动搜寻绕过自动化防御的隐藏威胁。他们会寻找网络犯罪分子常用的战术、技术和程序（TTP）。
- 调查：确定威胁范围和严重程度，识别接下来的措施。
- 扑救：遏制主动威胁以防止扩散，清除恶意软件，并隔离受影响的系统。
- 消除：执行根本原因分析，以彻底消除攻击者威胁，并加强防御，防止再次发生。
谁应该使用 MDR 服务提供商？
各种规模的组织，从精简的 IT 团队到配备专门 SOC 的企业，都应依赖 MDR 服务。但他们如何与这些服务提供商合作？有三种主要的 MDR 响应模型可供选择：
- MDR 团队代表客户完全管理威胁响应。
- MDR 团队与内部团队协作，共同管理威胁响应。
- MDR 团队向内部团队发出警报，并提供修复指导。
每个组织都有其独特性，应选择最符合自身需求的 MDR 响应模型。
MDR 对比 EDR
EDR (端点侦测与响应)是一种工具，可帮助分析人员在端点层面侦测、调查和响应威胁。MDR（托管式侦测与响应）是一项完全托管的服务，安全专家会代您处理侦测、调查和响应工作。借助 MDR，您获得的不仅仅是一个工具，更是一个专业团队。
XDR 对比 MDR
XDR (扩展式侦测与响应)将可见性从端点扩展至防火墙、电子邮件、云、网络、身份辨识等的数据。与 EDR 一样，它是安全团队的强大工具。MDR 服务提供商可能将 XDR 作为其服务的一部分，但在 MDR 中，服务提供商会代表您在您的整个环境中主动进行监控、搜寻和响应威胁。
MDR 对比 SIEM
SIEM (安全信息与事件管理)是一种技术平台，可从您现有安全工具中收集并分析数据，以标识潜在威胁。相比之下，MDR 是一项完全托管、由人工主导的服务，不仅分析遥测数据，还代表您进行威胁的调查、响应与消除。
MDR 对比 MSSP
MSP (托管式安全服务提供商)专注于安全工具的持续管理，例如配置防火墙、管理政策和套用更新。MDR 提供商专门于全天候的威胁侦测与响应。他们并非负责管理您的工具，而是专注于快速且有效地阻止正在发生的威胁。
MDR 提供商的主要类型有哪些？
MDR 提供商主要有三种类型：
- 自带技术型：这类 MDR 提供商从多个安全工具中采集数据，但通常除了发出警报之外，提供的支持非常有限。他们往往缺乏有效响应所需的深度、速度和响应能力。
- 单一厂商：这类厂商仅为其自家安全产品提供 MDR 服务。虽然集成性较强，但客户通常需要移除并替换现有工具，而且响应能力受限于该厂商产品的可控范围。
- 完全灵活型：这种模式结合两种模式的优势。这类 MDR 服务提供商支持您现有的安全堆栈 - 无需移除和更换 -同时也可集成自身工具，以提供更深层次的响应能力。
如何选择合适的 MDR 服务提供商
在评估 MDR 服务提供商时，组织应考虑以下因素：
- 专业能力深度：该提供商具备哪些威胁情报能力和安全专业知识？
- 服务模式：其响应模型是否符合您的组织结构和安全目标？
- 人员配置和规模：有多少专职专业人员在提供服务？他们的全球覆盖如何？
- 行业经验：他们是否在您的行业，或在规模和复杂性相似的组织中有成功经验？
- 全天候运营：他们是如何提供全天候监控的？是通过全球安全运营中心（SOC），还是其他方式？
- 响应速度：、调查和消除威胁的平均耗时是多少？
- 技术集成：他们是否能够与您现有的工具集成，以提升投资回报率并简化操作流程？
- 客户满意度：真实客户在评论、案例研究和独立平台上是如何评价的？
- 独立认可：他们在 Gartner Peer Insights 或 IDC MarketScape 等第三方分析师评估中表现如何？
- 入侵保固：他们是否提供此类保障？如果提供，您的组织合资格享有怎样的保障范围？
MDR 定价比较
计算建立并运营您自己的安全运营中心（SOC）的成本，并与 Sophos 提供的 MDR 服务对比。
Sophos MDR 服务带来久经验证的安全成果
Sophos 托管式侦测与响应（MDR）是全球最受信赖的 MDR 服务，能够在您的整个环境中提供由专家主导的威胁侦测、调查与响应，涵盖端点、服务器、网络、云工作负载及电子邮件。
Sophos在 2024 年 Gartner® 客户之声报告中获认可为“客户之选之一，帮助各类规模的组织降低风险、阻止高级攻击，并获得安心保障。
准备好迈出下一步了吗？立即下载 MDR 解决方案手册 或 MDR 买家指南，然后联系我们，来开启您的 Sophos MDR 之旅。
相关安全主题：什么是端点安全？
