EDR, XDR i SIEM - razlike objasnjene jednostavno

EDR, XDR i SIEM tri su povezane ali razlicite tehnologije za otkrivanje napada. EDR stiti pojedinacne uredaje (endpointe) i tu zaustavlja prijetnje, SIEM prikuplja i korelira logove iz cijele IT okoline radi otkrivanja i uskladenosti, a XDR povezuje vise izvora podataka (endpointi, mreza, e-posta, oblak) u jedinstvenu sliku napada. Najjednostavnije: EDR gleda uredaj, SIEM gleda logove, a XDR spaja sve u jednu pricu.

Ako vodite IT u firmi u Mostaru, Sarajevu ili bilo gdje u regiji, gotovo sigurno ste culi sva tri pojma, cesto od dobavljaca koji ih koristi kao sinonime. Nisu sinonimi. Razumijevanje razlike izmedu EDR XDR SIEM tehnologija izravno utjece na to koliko cete platiti, koliko ljudi vam treba i hocete li napad uopce primijetiti. U ovom clanku objasnjavamo svaku tehnologiju jednostavno, ali tocno, i pokazujemo kako se uklapaju u stvarnu obranu manjeg i srednjeg preduzeca.

Sto je EDR (Endpoint Detection and Response)

EDR je tehnologija koja se instalira kao agent (mali program) na svaki uredaj koji zelite stititi: radne stanice, prijenosna racunala i servere. Za razliku od klasicnog antivirusa koji prepoznaje poznate viruse po potpisu, EDR kontinuirano biljezi sto se na uredaju dogada: koji procesi se pokrecu, koje datoteke se mijenjaju, koje mrezne veze se otvaraju i koje naredbe se izvrsavaju u PowerShellu ili terminalu.

Ta vidljivost omogucuje EDR-u da prepozna ponasanje napadaca cak i kad malware nema poznati potpis. Primjer: zaposlenik otvori privitak, dokument tiho pokrene PowerShell skriptu koja preuzima dodatni kod i pokusava se prosiriti na druga racunala. Antivirus to mozda propusti, a EDR vidi neuobicajeni lanac procesa, oznaci ga i moze automatski izolirati uredaj s mreze prije nego se napad prosiri.

Sto EDR radi dobro, a sto ne

• Snaga: duboka vidljivost na razini uredaja i mogucnost reagiranja, od izolacije uredaja i zaustavljanja procesa do vracanja promjena.
• Snaga: otkrivanje napada temeljeno na ponasanju, ne samo na poznatim potpisima.
• Ogranicenje: vidi samo ono sto se dogada na uredaju s instaliranim agentom. Napad kroz mrezni uredaj, pogresno konfiguriran oblak ili e-postu bez izvrsavanja na endpointu moze ostati nevidljiv.
• Ogranicenje: generira upozorenja koja netko mora pratiti i tumaciti. Alat sam po sebi nije obrana ako nema tima iza njega.

Sto je SIEM (Security Information and Event Management)

SIEM je centralni sustav koji prikuplja logove (zapise o dogadajima) iz cijele vase IT okoline: vatrozida, servera, mreznih preklopnika, Active Directoryja, aplikacija, VPN-a, pa i samog EDR-a. Sve te zapise normalizira u zajednicki format, sprema ih i pokrece pravila korelacije koja traze sumnjive obrasce.

Kljucna rijec je korelacija. Pojedinacni dogadaj cesto nije sumnjiv. Ali ako SIEM vidi neuspjesnu prijavu na deset racuna, zatim uspjesnu prijavu izvan radnog vremena, pa pristup datotecnom serveru s tog istog racuna, to je obrazac koji upucuje na kompromitirane vjerodajnice. SIEM povezuje dogadaje koje pojedinacni alati vide odvojeno.

Drugi vazan razlog za SIEM je uskladenost (compliance). Standardi poput ISO 27001 ocekuju da cuvate i pregledavate sigurnosne zapise. SIEM centralizira logove, cuva ih odredeni period i omogucuje pretragu kad treba istraziti incident ili dokazati reviziju.

Cijena SIEM-a nije samo licenca

Firme cesto podcijene jednu stvar: SIEM je onoliko dobar koliko su dobra pravila i ljudi koji ga prate. Sirovi SIEM bez podesenih pravila korelacije i bez analiticara koji reagira na upozorenja postaje skupo skladiste logova. Trosak ukljucuje licencu (cesto po kolicini podataka), podesavanje, odrzavanje pravila i, najvaznije, ljude koji 24/7 gledaju izlaz.

Sto je XDR (Extended Detection and Response)

XDR je noviji pristup koji povezuje vise izvora otkrivanja, od endpointa, mreze i e-poste do identiteta i oblaka, u jednu integriranu platformu. Umjesto da analiticar skace izmedu pet konzola i rucno spaja tragove, XDR automatski korelira signale iz svih tih izvora i prikazuje cjeloviti incident kao jednu pricu: ovako je napad usao, ovako se kretao, ovo je dotaknuo.

Razlika u odnosu na SIEM je u fokusu i pristupu. SIEM je sirok i fleksibilan, prima logove iz gotovo svega, ali zahtijeva da vi izgradite pravila i kontekst. XDR je uzi i dublje integriran, jer proizvodac unaprijed povezuje izvore i isporucuje gotovu logiku otkrivanja te mogucnost automatskog odgovora kroz cijeli lanac, ne samo na endpointu.

XDR nije zamjena za sve

Marketing cesto predstavlja XDR kao zamjenu za SIEM. U praksi se cesto nadopunjuju: XDR daje brzo, integrirano otkrivanje i odgovor preko glavnih vektora napada, dok SIEM ostaje za siroko prikupljanje logova, prilagodene izvore i zahtjeve uskladenosti. Za mnoga preduzeca u regiji odgovor nije EDR ili XDR ili SIEM, nego smislena kombinacija ovisno o velicini, riziku i budzetu.

Jedan napad, tri tehnologije i kako svaka reagira

Najlakse je razliku izmedu EDR, XDR i SIEM razumjeti kroz konkretan, realistican scenarij. Zamislite phishing napad na knjigovodu u srednjem preduzecu u Mostaru.

1. Ulaz. Knjigovoda dobije e-postu s laznim racunom i otvori privitak. Dokument tiho pokrene skriptu koja preuzima alat za udaljeni pristup.
2. Sto vidi EDR. EDR na racunalu knjigovode primijeti neuobicajeni lanac: uredski program pokrece skriptnu ljusku koja otvara mreznu vezu prema nepoznatom posluzitelju. EDR oznaci dogadaj i moze odmah izolirati to racunalo.
3. Sto vidi SIEM. Napadac iskoristi ukradene vjerodajnice za prijavu na datotecni server. SIEM, koji prima logove i s EDR-a i s Active Directoryja i sa servera, korelira: ista identiteta, prijava izvan radnog vremena, pristup s neuobicajenog uredaja. To je obrazac koji jedan uredaj sam ne bi povezao.
4. Sto vidi XDR. XDR sve gornje signale, e-postu, ponasanje na endpointu i sumnjivu prijavu, automatski spaja u jedan incident i prikazuje cijeli lanac kao jednu pricu, te moze pokrenuti odgovor na vise tocaka odjednom (blokirati identitetu, izolirati uredaj, karantenirati slicne poruke kod drugih korisnika).

Pouka: isti napad razlicite tehnologije hvataju na razlicitim mjestima i u razlicitom trenutku. Zato pitanje rijetko glasi koja je tehnologija najbolja, nego koliko slojeva pokrivate i tko reagira kad se upozorenje pojavi.

EDR vs XDR vs SIEM: usporedna tablica

Kriterij	EDR	SIEM	XDR
Glavni fokus	Pojedinacni uredaji (endpointi)	Logovi iz cijele okoline	Vise povezanih izvora kao cjelina
Izvor podataka	Agent na uredaju	Logovi sa svih sustava	Endpoint, mreza, e-posta, oblak, identitet
Glavna snaga	Dubinska vidljivost i odgovor na uredaju	Korelacija i uskladenost	Integrirano otkrivanje preko vektora
Automatski odgovor	Da, na endpointu	Ograniceno, uz dodatne alate	Da, kroz vise izvora
Tipicna slozenost postave	Niza	Visa	Srednja, ovisi o proizvodacu
Treba li tim koji prati	Da	Da	Da

Koju tehnologiju treba vasa firma

Najcesca pogreska nije izbor pogresnog alata, nego kupnja alata bez tima koji ga koristi. Sva tri sustava generiraju upozorenja koja netko mora tumaciti i na koja netko mora reagirati, u idealnom slucaju neprekidno. Bez toga i najskuplja platforma postaje skupa lampica koja svijetli dok nitko ne gleda.

Okvirno, za firme u BiH i regiji:

• Manje preduzece s ogranicenim IT resursima cesto najvise dobije od kvalitetnog EDR-a kojim upravlja vanjski tim, umjesto da samostalno gradi i odrzava SIEM.
• Srednja organizacija s vise sustava, regulatornim zahtjevima ili osjetljivim podacima obicno treba kombinaciju centraliziranog prikupljanja logova (SIEM) i otkrivanja na endpointima (EDR), idealno povezanu u XDR pristup.
• Organizacija koja se priprema za ISO 27001 gotovo sigurno treba centralizirano biljezenje i pregled dogadaja, sto SIEM izravno podupire.

Bez obzira na tehnologiju, prvi korak je razumjeti gdje su vam stvarne slabosti. Kontrolirani penetracijski test i sigurnosna procjena pokazat ce koje napade vasa trenutna obrana propusta, i tek tada ima smisla birati izmedu EDR, XDR i SIEM rjesenja. Ako niste sigurni gdje stojite, kratki upitnik za procjenu dobra je polazna tocka.

Gdje upada nadzirana detekcija (MDR / SOC)

Upravo zato vecina manjih i srednjih firmi ne kupuje samo alat, nego uslugu nadzirane detekcije i odgovora. U tom modelu vanjski Security Operations Center (SOC) postavlja i odrzava EDR, XDR ili SIEM, prati upozorenja 24/7 i reagira na incidente umjesto vaseg internog tima. Za organizacije koje nemaju vlastiti tim sigurnosnih analiticara to je cesto jedini realan nacin da tehnologija zaista radi. NeoBit ovaj pristup pruza kroz Guardian 360 SOC. Ako zelite procijeniti sto vam odgovara, javite nam se za nezavisnu preporuku.

Ceste pogreske pri uvodenju EDR, XDR ili SIEM rjesenja

U praksi vidimo da firme rijetko padnu na izboru proizvodaca. Padnu na nacinu uvodenja. Evo gresaka koje se najcesce ponavljaju:

• Kupnja alata bez plana tko ga prati. Najskuplja platforma bez analiticara koji reagira na upozorenja samo stvara laznu sigurnost. Prvo rijesite pitanje nadzora, pa onda licence.
• Nepotpuna pokrivenost. EDR agent koji nije instaliran na svim uredajima, ili SIEM koji ne prima logove s kljucnih sustava, ostavlja rupe koje napadac upravo trazi. Pokrivenost je vaznija od broja funkcija.
• Sve postaviti i nikad ne ugadati. Pravila otkrivanja zastarijevaju, generiraju lazne uzbune i tim ih pocne ignorirati. Bez redovitog ugadanja kvaliteta otkrivanja s vremenom pada.
• Otkrivanje bez plana odgovora. Otkriti napad je pola posla. Ako ne postoji unaprijed dogovoren postupak, tko izolira uredaj, tko obavjestava upravu, tko vraca sustave, dragocjeni sati se gube tijekom incidenta.
• Pretpostavka da je obrana provjerena samo zato sto je ukljucena. Tek kontrolirani test pokazuje hvata li vasa postava stvarne napade. Konfiguracija na papiru i ponasanje pod napadom cesto se razlikuju.

Sve ove pogreske imaju isto rjesenje: tretirajte EDR, XDR i SIEM kao dio procesa, a ne kao kutiju koja se ukljuci i zaboravi. Tehnologija je alat, a obrana je kombinacija alata, ljudi i provjerenih postupaka.

Cesto postavljana pitanja

Je li XDR zamjena za SIEM?

Ne nuzno. XDR i SIEM se cesto nadopunjuju. XDR daje brzo, integrirano otkrivanje i odgovor preko glavnih vektora napada (endpoint, mreza, e-posta, oblak), dok SIEM pokriva siroko prikupljanje logova, prilagodene izvore i zahtjeve uskladenosti poput ISO 27001. Mnoge organizacije koriste oba.

Trebam li jos antivirus ako imam EDR?

Moderni EDR obicno ukljucuje i klasicnu zastitu od malwarea, pa zaseban antivirus cesto nije potreban jer ga EDR nadograduje detekcijom temeljenom na ponasanju i mogucnoscu odgovora. Vazno je provjeriti da vase EDR rjesenje pokriva osnovnu prevenciju, a ne samo otkrivanje.

Moze li mala firma iz Mostara uopce koristiti ove tehnologije?

Da. Manje firme rijetko grade vlastiti SOC, ali kroz model nadzirane detekcije (MDR) dobivaju EDR, XDR ili SIEM kao uslugu, s podesavanjem, nadzorom 24/7 i odgovorom na incidente koje pruza vanjski tim. To omogucuje razinu zastite koja je inace dostupna samo velikim organizacijama.

Sto je vaznije: alat ili tim koji ga prati?

Tim. Sve tri tehnologije generiraju upozorenja koja netko mora tumaciti i na koja netko mora reagirati. Alat bez analiticara koji ga prati daje laznu sigurnost. Zato je preporuka prvo osigurati da postoji tko ce reagirati na upozorenja, pa tek onda birati i siriti tehnologiju.

Povezani vodiči: Cyber sigurnost u BiH - kompletan vodič · Što je SOC (Security Operations Center) i treba li vam? · Što je MDR (Managed Detection and Response) i kome treba?