Extended Detection and Response (XDR) est une consolidation d’outils et de données qui offre des fonctionnalités de visibilité, d’analyse et de réponse étendues à l’échelle des terminaux, des charges de travail, des utilisateurs et des réseaux.

XDR unifie les fonctionnalités de sécurité des terminaux et des charges de travail et offre une visibilité stratégique sur le réseau et le Cloud, ce qui réduit les angles morts, accélère la détection des menaces et automatise la correction grâce à un contexte faisant autorité dans ces domaines.

La XDR est essentiellement une consolidation des outils et des données, et représente une évolution majeure en matière de fonctionnalités de sécurité d’entreprise. Dans la mesure où la solution XDR a accès aux données brutes collectées dans l’environnement, elle peut détecter les acteurs malveillants qui utilisent des logiciels légitimes pour accéder au système. Souvent, les logiciels de gestion des informations et des événements de sécurité, ou SIEM, en sont incapables. XDR effectue une analyse et une mise en corrélation automatisées des données d’activité, ce qui permet aux équipes en charge de la sécurité de contenir les menaces plus efficacement. Par exemple, la solution peut s’étendre pour inclure les détections de réseau, les mouvements latéraux, les connexions anormales, les balises, l’exfiltration et la fourniture d’objets malveillants.

Comme la fonction EDR, la XDR réagit aux menaces afin de les contenir et de les supprimer. Cependant, la XDR peut réagir plus efficacement par rapport à la ressource affectée, en raison de sa collecte de données optimale et de son intégration à l’environnement. Les véritables plates-formes XDR offrent la visibilité globale et le contexte dont les analystes de sécurité ont besoin pour répondre aux menaces de manière ciblée et efficace. Cette réponse personnalisée permet d’enrayer non seulement la menace elle-même, mais également l’impact de la réponse sur les systèmes. Conséquence : une réduction des interruptions de service sur les serveurs critiques.

La XDR se décline en trois parties : la télémétrie et l’analyse des données, la détection et la réponse.

• Télémétrie et analyse des données : La XDR surveille et collecte les données à l’échelle de plusieurs couches de sécurité, à savoir les terminaux, le réseau, le serveur et le Cloud. Elle utilise l’analyse des données pour mettre en corrélation le contexte de milliers d’alertes issues de ces couches afin de dégager un nombre beaucoup plus faible d’alertes prioritaires, de manière à éviter de submerger les équipes responsables de la sécurité.
• Détection : La visibilité supérieure de la XDR lui permet de passer au crible les alertes et de signaler celles qui nécessitent une réponse. Cette même visibilité lui permet de créer des références de comportement normal au sein d’un environnement afin de détecter les menaces qui exploitent les logiciels, les ports et les protocoles, et de rechercher l’origine de la menace pour l’empêcher d’affecter d’autres parties du système.
• Réponse : À l’instar de l’EDR, la XDR a la capacité d’enrayer et de supprimer les menaces qu’elle détecte, ainsi que de mettre à jour les règles de sécurité pour empêcher qu’une violation similaire ne se reproduise. Mais contrairement à l’EDR, qui exécute cette fonction uniquement sur les terminaux et les charges de travail, la XDR va au-delà de la protection des terminaux, en répondant aux menaces sur tous les points de contrôle de sécurité qu’elle touche, de la sécurité des conteneurs aux réseaux et aux serveurs.

Les fonctionnalités de la XDR au-delà de l’EDR lui confèrent plusieurs avantages tangibles pour la sécurisation de l’environnement informatique d’une entreprise. Ces avantages incluent :

• Gain en visibilité et en contexte : Contrairement à l’EDR (limitée aux terminaux et aux charges de travail) et aux services de sécurité tiers (qui ont souvent une visibilité limitée), la XDR offre une vue complète à 360 degrés sur l’environnement de sécurité. La plate-forme permet aux analystes de sécurité de voir les menaces (même celles qui exploitent des logiciels, ports et protocoles légitimes pour obtenir un accès) sur n’importe quelle couche de sécurité, ainsi que de déterminer le déroulement d’une attaque, le modèle, le point d’entrée, les autres utilisateurs touchés, l’origine de la menace et comment elle s’est propagée. Ce contexte supplémentaire, ainsi que les analyses nécessaires pour le comprendre, est essentiel pour assurer une réponse rapide aux menaces.
• Priorité : Les équipes responsables de l’informatique et de la sécurité ont souvent du mal à suivre le rythme des milliers d’alertes générées par leurs services de sécurité. Les fonctionnalités d’analyse et de corrélation des données de la XDR lui permettent de regrouper les alertes associées sur l’ensemble du cadre MITRE ATT&CK, de les hiérarchiser et de faire ressortir uniquement les plus importantes.
• Automatisation : l’utilisation de l’automatisation dans XDR accélère la détection et la réponse et supprime les étapes manuelles des processus de sécurité, ce qui permet aux équipes informatiques de gérer un grand volume de données de sécurité et d’exécuter des processus complexes de manière reproductible.
• Efficacité opérationnelle : Au lieu d’un ensemble fragmenté d’outils de sécurité, la XDR fournit une vue globale des menaces à l’échelle de tout l’environnement. Elle offre des fonctionnalités centralisées de collecte de données et de réponse étroitement intégrées dans l’environnement et au sein d’un écosystème de sécurité plus vaste.
• Détection et réponse plus rapides : Tous ces avantages s’accumulent pour renforcer la robustesse et l’efficacité de la stratégie sécuritaire. L’efficacité accrue de la XDR lui permet de détecter les menaces et d’y répondre plus rapidement, une caractéristique cruciale dans le paysage de la sécurité actuel.
• Réponses plus sophistiquées : Traditionnellement, l’EDR répond souvent à une menace en mettant en quarantaine le terminal affecté, ce qui est acceptable lorsqu’il s’agit d’un terminal utilisateur, mais peut poser un problème lorsqu’un serveur stratégique est infecté. Les fonctionnalités plus sophistiquées et la visibilité accrue de la XDR lui permettent d’adapter spécifiquement la réponse au système et d’exploiter d’autres points de contrôle pour minimiser l’impact global.