XDR 是什麼？延伸式偵測及回應提供了哪些資安保障？

分享：

XDR（Extended Detection and Response）能夠整合多個資安技術，擴大資安監控範圍，並提供自動化回應機制，幫助企業更有效地防禦資安攻擊。本文將深入探討 XDR 的運作方式、優勢，幫助企業了解如何導入 XDR 來強化資安防禦。

XDR 是什麼？

XDR 是 Extended Detection Responses 的縮寫，中文稱為「延伸式偵測及回應」。XDR 是一種資安維護技術，用來監控並緩解網路威脅。

XDR 中的所謂的「延伸式」，是相較於 EDR 和 MDR 來說，XDR 偵測的範圍涵蓋更廣，在多種不同的途徑監控包含端點、電子郵件系統、應用程式、網路連線等活動，以發現異常現象。白話一點地說，XDR 整合了多個資安技術，跨平台偵測威脅，在短時間內接受並分析大量資訊，再即時回應緩解網路攻擊，第一時間將影響縮至最小。文章後續，會再進一步比較 XDR、MDR 即 EDR 之間的差異。

XDR 的優勢

整合偵測網路威脅：XDR 能夠彙整來自端點、網路、雲端等多個來源的資安相關資料，協助企業了解異常事件的完整全貌。
提升可視性：透過單一儀表板監控企業資訊系統內的活動，企業資安團隊可更清楚掌握潛在威脅。
增強回應能力：自動關聯分析警報並執行快速回應，縮短事件處理時間，減少安全風險。
提升營運持續性：即時威脅偵測與自動化回應，降低資安事件對業務運作的影響，確保系統穩定運行。
資料儲存能力：XDR 能夠長時間儲存與分析大量安全數據，便於調查歷史事件並改進威脅防禦策略。
分析內部與外部威脅：除了外部威脅，同時偵測內部行為，杜絕來自內部的威脅。

XDR 的運作方式

XDR 的工作流程，可以簡單分成四大階段：「事件偵測」、「事件分析」、「採取回應」，以及最後的「持續監控與優化」。

一、事件偵測 Incident Detection

在這個階段裡，XDR 會將不同來源的資料統整，方便後續解讀。多個來源的系統資料，也較可以提供全面的資安事件資訊。然後對比已知的資安威脅情報，找出系統中是否有和已知的資安威脅相似的事件。並透過機器學習等方式，進階分析收集到的資料是否有異常。

二、事件分析 Incident Analysis

若發現了系統中有異常事件，XDR 會再深入分析。結合從不同端點、雲端位置、網路系統等的警告整合，建立新的資安事件。再依據已知的資訊，判斷事件的嚴重程度，和處理事件的優先順序。

三、採取回應 Response Actions

資安事件成立之後，XDR 系統會判別該事件為惡意或無害的事件，再作出相應的回應。

惡意事件：

封鎖入侵者：封鎖惡意入侵的 IP 位址、域名或檔案。
隔離端點：將受影響的端點隔離，避免進一步影響系統中的其他位置。
會話（Session）管理：清除入侵者與系統的互動、撤銷其權限，並強制執行多因子認證（MFA），以加強使用者身份管理。
密碼重設：系統內合法的使用者更新密碼，以免再次遭到利用。

無害事件：結束事件，盡可能地避免影響系統正常運作。

四、持續監控與優化

XDR 在即時做出回應之後，會持續監控與定期掃描，並學會辨認新的資安威脅，確保系統安全，避免未知的網路威脅影響整體 IT 系統運作。

XDR 的元件有哪些？

XDR 系統要做到實時監控、第一時間分析及回應異常事件，仰賴多個不同的元件同時作用。雖然實際使用上，XDR 系統可能會根據需求有不同的配置，但通常會包含以下元件：

資料來源：從雲端、網路連線、端點、應用程式等不同來源輸入系統相關資料，資料來源越多，XDR 對整體資訊系統的掌握度就越高。
分析或機器學習：用來深入學習、分析收集到的系統資料，在其中找尋固定模式，來辨識淺在的資安威脅與判斷異常事件的嚴重程度。
資安威脅情報：XDR 辨識資安威脅，除了透過分析收集到的資料，也會依靠對於過去的資安威脅的了解，從中找尋和過去相同的攻擊模式。
事件回應：以事先設定好的規則，在發現惡意攻擊時，自動執行封鎖等回應，提升緩解網路攻擊的效率。
統一儀表板：讓管理不同來源的資安警告和事件更容易。
其他資安系統：雖然使用 XDR 有眾多優勢，但僅依靠 XDR 安全性仍不足，搭配其他資安防護措施更能確保資訊安全。

XDR vs MDR vs EDR

「端點偵測及應變（EDR）」跟 XDR 同樣也是透過監測與即時回應，來確保資訊安全的技術；而和「受管式偵測及應變（MDR）」則是將 EDR 工作外包給企業以外的第三方公司。EDR 跟 XDR 的差別在於，EDR 的偵測範圍較小，集中在端點；XDR 則是同時監控多元的系統和管道。

	EDR	MDR	XDR
屬性	資安技術	資安服務	資安技術
監控範圍	端點	端點	整個 IT 系統
優勢	可偵測可疑活動	減少企業內部的人力成本	提供完整的資安資訊
適用對象	有資安專家的企業	無資安專家的企業	需要全面了解資安全貌的企業

XDR 可以取代 SIEM 嗎？

Security Information and Event Management，簡稱 SIEM，也是資訊安全的解決方案。同樣透過偵測分析，來降低網路威脅對企業的傷害。雖然聽起來很像，但 XDR 和 SIEM 還是有不同的地方：

資料來源：SIEM 分析的資料來源為防火牆、伺服器、應用程式和網路設備等的 Log 檔；XDR 除了 Log 以外，更廣泛的整合其他資料來源。也因此，XDR 對資安事件，較可以提供全面的資訊。
偵測範圍：SIEM 主要針對網路相關的資料來源分析；XDR 同時收集網路與端點的資料。
偵測方式：SIEM 依賴預先設定好的規則尋找異常事件；XDR 多使用較先進的機器學習技術和威脅情報，可辨識出未知的新威脅。
自動化回應：發生資安事件時，SIEM 傳統上以通知系統管理者為主要回應方式；XDR 則會以自動做出回應，阻止網路攻擊繼續。