O compromisso oculto nos serviços de deteção e resposta geridas

Quando os prestadores de serviços geridos (MSP) avaliam serviços de deteção e resposta geridas (MDR), a conversa começa, habitualmente, da mesma forma: “Fale-me do vosso SOC e da rapidez com que respondem”.  São informações relevantes, mas não esclarecem um fator determinante para a eficácia do serviço: que parte dos ambientes dos seus clientes o fornecedor consegue observar e em que componentes consegue intervir. Um centro de operações de segurança (SOC) disponível 24 horas por dia, sete dias por semana, mas que apenas monitoriza metade do ambiente, não está a proteger os seus clientes. Está a dar-lhes uma falsa sensação de segurança.

A monitorização permanente ajuda as organizações a anteciparem-se a ameaças que estão sempre ativas, mas não lhes permite mitigar eficazmente todos os riscos se o SOC receber apenas dados limitados ou com pouco contexto. Pense na informação com que um analista trabalha. Se os únicos dados recebidos forem alertas de endpoints, uma ameaça que entre através de uma identidade comprometida, se desloque lateralmente pela rede e extraia dados através de uma aplicação na cloud pode surgir como três eventos sem relação entre si e de baixa prioridade. Quando estes sinais são analisados em conjunto, revelam uma intrusão em curso. Se permanecerem isolados, são apenas ruído. A qualidade da deteção depende inteiramente da qualidade e da abrangência dos dados que a alimentam.

A eficácia de um serviço de MDR depende dos dados a que tem acesso

Os endpoints, a rede, as identidades e a cloud oferecem perspetivas distintas. Uma atividade aparentemente rotineira pode assumir um significado completamente diferente quando é correlacionada com sinais de outras camadas de segurança.

Por exemplo, aquilo que parece ser um alerta de baixa prioridade num sistema pode indicar um ataque quando é analisado em conjunto com outros sinais. A telemetria relevante e interligada de diferentes tecnologias de segurança permite aos analistas reconstituir a sequência dos acontecimentos e agir. Sem dados completos, alguns alertas podem passar despercebidos, a investigação torna-se mais lenta e o incidente pode só ser detetado depois de já se ter propagado.

Encontrar o fornecedor de MDR certo

Os serviços de MDR seguem, geralmente, uma de duas abordagens. Alguns privilegiam a profundidade, concentrando-se num âmbito restrito de tecnologias. Especializam-se num conjunto específico de soluções, muitas vezes centrado nos endpoints, o que lhes permite desenvolver um conhecimento aprofundado dessas áreas, mas limita frequentemente a sua visibilidade sobre o restante ambiente. O problema é que a maioria das carteiras de clientes dos MSP não é assim tão uniforme. Há clientes com diferentes plataformas de firewall, diferentes ferramentas de proteção de endpoints e diferentes fornecedores de identidade. Um serviço centrado apenas na profundidade começa a deixar lacunas assim que um cliente utiliza tecnologias fora do conjunto aprovado.

Outros fornecedores de MDR dão prioridade à abrangência, oferecendo um modelo que combina as melhores soluções de diferentes fabricantes, conhecido como best of breed. Recolhem e monitorizam dados de uma grande variedade de produtos, o que lhes permite abranger ambientes de grande dimensão e tirar partido das ferramentas já existentes. No entanto, por mais apelativa que esta abordagem pareça, é essencial perceber o que fazem efetivamente as integrações. Algumas recolhem apenas alertas, em vez de telemetria em bruto. O resultado é um fluxo de notificações sem contexto, sem capacidade para correlacionar informação entre camadas e sem possibilidade de executar ações de resposta diretamente através do serviço. Uma cobertura alargada com integrações superficiais não equivale a uma verdadeira visibilidade.

O que realmente precisa é de ambas as vertentes: integrações que abranjam a variedade de ferramentas utilizadas pelos seus clientes e profundidade suficiente em cada integração para que os analistas consigam compreender o que está a acontecer e agir.

Um serviço de MDR moderno e eficaz deve combinar a profundidade necessária para compreender o que está a acontecer com a abrangência e a flexibilidade indispensáveis à proteção de ambientes de clientes distintos. Esta flexibilidade permite aos MSP assegurar uma monitorização e uma resposta consistentes, sem exigir que todos os clientes adotem o mesmo conjunto de tecnologias de segurança ou que os próprios MSP desenvolvam conhecimentos especializados sobre cada produto.

Quando a profundidade, a abrangência e a flexibilidade se conjugam, o MDR torna-se mais do que uma monitorização permanente. Proporciona a visibilidade e o contexto necessários para identificar ameaças em todo o ambiente, investigá-las com eficiência e responder com confiança, dando simultaneamente aos MSP a flexibilidade para apoiar os ambientes tecnológicos de que os seus clientes dependem no dia a dia.

Sete perguntas que todos os MSP devem fazer

Um bom serviço de MDR deve responder tanto às necessidades operacionais dos MSP como à diversidade dos ambientes que gerem. As perguntas seguintes ajudam a avaliar a adequação do serviço antes de tomar uma decisão:

1. Que parte do ambiente de segurança conseguem monitorizar?

Identifique as fontes de dados abrangidas pelo serviço e as áreas que continuarão sem visibilidade.

2. Qual é a profundidade das vossas integrações?

Confirme que as integrações contribuem ativamente para a deteção e a resposta, sem introduzirem latência, deixarem de funcionar quando os fabricantes atualizam o software ou gerarem ruído adicional nos alertas.

3. Conseguem correlacionar atividade entre várias camadas de segurança?

Avalie se o serviço correlaciona dados de ferramentas próprias e de terceiros para reconstituir toda a cadeia de ataque e fornecer contexto.

4. Como reduzem a fadiga de alertas e os falsos positivos?

Compreenda de que forma o serviço filtra o ruído, correlaciona eventos e faz a triagem de incidentes, para evitar que alertas de menor importância sobrecarreguem a equipa.

5. Com que rapidez conseguem responder quando uma ameaça é detetada?

Compare o acordo de nível de serviço (SLA) do fornecedor com os compromissos que já assumiu perante os seus clientes. Se os prazos não estiverem alinhados, será o MSP a ter de explicar essa diferença às duas da manhã, e não o fornecedor.

6. O serviço consegue crescer e adaptar-se a diferentes ambientes de clientes?

Pergunte se existe uma verdadeira camada de gestão multicliente, se é possível criar ofertas com diferentes níveis de serviço e se os relatórios apresentados aos clientes exibem a sua marca ou a do fornecedor. A escalabilidade implica adaptar-se à forma como um MSP trabalha, e não apenas suportar um maior número de endpoints.

7. Como funciona o modelo de faturação?

Antes de incluir o serviço numa proposta, certifique-se de que a estrutura de custos — por endpoint, por cliente ou com uma tarifa fixa — lhe permite definir preços de forma previsível e proteger a sua margem à medida que os clientes crescem.

O MDR não se resume a garantir cobertura permanente ou a suportar a maior variedade possível de tecnologias. Trata-se de ter a visibilidade e o contexto necessários para detetar, investigar e responder a ameaças em todos os ambientes dos seus clientes. Sem essa visibilidade, até os analistas mais experientes podem deixar escapar sinais críticos.

Ao avaliar fornecedores de MDR, os MSP devem olhar para além da disponibilidade, dos SLA e dos custos, para perceberem que parte do ambiente o serviço consegue observar e analisar. O fornecedor certo combina conhecimento aprofundado, cobertura alargada e flexibilidade para apoiar as tecnologias de que os clientes dependem hoje e que poderão adotar amanhã.

O serviço de MDR certo faz mais do que proteger os seus clientes: reforça a solidez da sua oferta. Tempos de resposta mais rápidos, com os quais pode comprometer-se. SLA que pode assumir com confiança perante os clientes. Menos situações que exigem a intervenção da equipa durante a noite e contribuem para o seu desgaste. E relatórios que demonstram o valor dos seus serviços de segurança em termos que os clientes compreendem. É isso que uma boa visibilidade proporciona: uma melhor deteção e um serviço gerido mais robusto e sustentável.