Descripción General del Servicio Administrado WatchGuard MDR

Aplica A: WatchGuard Core MDR, WatchGuard Core MDR for Microsoft

WatchGuard MDR es un servicio administrado proporcionado por WatchGuard a partners elegibles. Para obtener más información sobre cómo el equipo del WatchGuard SOC trabaja con los partners para proporcionar servicios MDR, vaya a estas secciones:

Responsabilidades

Para proporcionar servicios MDR a los clientes, los partners y el equipo del WatchGuard SOC trabajan juntos. Antes de comenzar con WatchGuard MDR, es útil comprender las funciones y responsabilidades de los partners y del equipo del WatchGuard SOC.

Partner

Las responsabilidades de los partners para WatchGuard MDR incluyen:

Determinar la Elegibilidad e Iniciar la Incorporación del Partner

Debe reunirse con el administrador de su cuenta de WatchGuard para confirmar los requisitos de elegibilidad e iniciar el proceso de incorporación de socios. Para más información, vaya a Elegibilidad y Incorporación de Partners.

Comprar y Asignar Licencias

Cada vez que compra una nueva licencia de MDR, activa la licencia y luego asigna el servicio MDR a los endpoints del cliente en WatchGuard Cloud. Para más información, vaya a Acerca de las Licencias de los Servicios Administrados.

Inscribir a su Cliente

Para cada nuevo cliente, complete los pasos para incorporar al cliente y configurar su entorno.

Licencias WatchGuard Core MDR y WatchGuard Endpoint Security

Licencias de WatchGuard Core MDR for Microsoft y Microsoft Defender for Endpoints

Seguir las Pautas de Remediación

Si se produce un incidente, asegúrese de que usted o su cliente puedan seguir las recomendaciones del equipo del WatchGuard SOC para remediar el incidente, de modo que puedan volver a operar normalmente cuanto antes. Para más información, vaya a Respuestas a Incidentes.

Equipo del WatchGuard SOC

Las responsabilidades del Equipo del WatchGuard SOC para WatchGuard MDR incluyen:

Monitorizar, Analizar y Triaje

WatchGuard monitoriza y analiza proactivamente los datos de telemetría de los endpoints de sus clientes para identificar, agregar y priorizar indicadores y alertas.

Investigar

WatchGuard determina si una actividad anormal es maliciosa y requiere una respuesta.

Proporcionar Respuesta a Amenazas

Una respuesta a amenazas incluye alertas con detalles de la investigación, la lista de endpoints afectados y pautas para remediar la amenaza. Cuando incorpora un cliente de WatchGuard Core MDR, puede especificar si desea permitir que WatchGuard SOC aísle los endpoints afectados en respuesta a una amenaza.

Buscar Amenazas

Los cazadores de amenazas de WatchGuard buscan amenazas que podrían haber evadido los controles de detección existentes, basándose en la inteligencia de amenazas y los indicadores de compromiso relevantes (IOC) observados a lo largo del tiempo. Si la actividad de caza de amenazas revela indicadores de actividad maliciosa, los cazadores de amenazas realizan una investigación. Además, WatchGuard crea nuevos Indicadores de Ataque (IOA) e Indicadores de Compromiso (IOC) para mejorar la eficacia y eficiencia del servicio.

Entregar Informes

WatchGuard MDR entrega automáticamente informes periódicos de estado de salud y actividad de servicio. Para más información, vaya a Informes de MDR.

Proporcionar Pautas de Remediación

El WatchGuard SOC proporciona una pauta de remediación para cualquier amenaza detectada. Para más información, vaya a Mitigación y Remediación de Incidentes.

Elegibilidad y Incorporación de Partners

Para ofrecer el servicio WatchGuard MDR a sus clientes, le recomendamos que tenga experiencia en la instalación, el soporte y la resolución de problemas de WatchGuard EDR, EPDR, Advanced EPDR, Panda AD360, Microsoft Defender o Microsoft Office 365.

Su personal también debe tener acceso al entorno del cliente o proporcionar permiso al equipo del SOC, para que puedan trabajar directamente con el cliente cuando el servicio MDR detecte un intento de compromiso.

Además, debe asistir a una sesión inicial de incorporación del partner.

Elegibilidad

Para ofrecer servicios de MDR, debe tener al menos una persona disponible 8 horas al día, 5 días a la semana, o 24 horas al día, 7 días a la semana (según el modelo que seleccione en el proceso de incorporación), en caso de que el equipo del WatchGuard SOC necesite ponerse en contacto con usted. Por ejemplo, es posible que necesitemos su ayuda para determinar si la actividad que detectamos en la red del cliente es aprobada por usted o su cliente o indica una amenaza potencial para la seguridad.

También recomendamos:

  • Usted tiene un plan de negocios escalable implementado para apoyar el crecimiento del servicio de MDR.
  • Para un cliente de WatchGuard Core MDR, tiene al menos un miembro del personal con una certificación técnica de WatchGuard Endpoint Security vigente.

Proceso de Incorporación

Cuando cumpla con los requisitos de elegibilidad, trabaje con WatchGuard para completar el proceso de incorporación:

  1. Póngase en contacto con su administrador de cuentas para expresar su interés en WatchGuard MDR.
  2. Después de que su administrador de cuentas califica su organización como elegible, este reenvía la solicitud al equipo de incorporación.
  3. El equipo de incorporación lo entrevista a usted o a su equipo para recopilar datos esenciales y revisar sus responsabilidades.
  4. Firme el acuerdo de Términos de Servicio.
  5. Complete estos formularios (proporcionados por el equipo de incorporación):
    • Formulario de Incorporación de MDR
    • Formulario de Incorporación de MDR O365
    • Formulario de Delegación de Cliente de MDR
    • Formulario de Incorporación de MDR Microsoft Defender for Endpoint

Respuestas a Incidentes

La corrección y optimización de incidentes no forman parte activa del servicio de WatchGuard MDR. Cuando el equipo del WatchGuard SOC se pone en contacto con usted o con su equipo de seguridad sobre un incidente, debe seguir las pautas que proporcionamos para responder al incidente.

Notificaciones de Alerta de Incidentes

Si un cliente WatchGuard MDR experimenta un incidente de seguridad, en función de la ruta de escalamiento que seleccione en la incorporación del partner, un miembro del equipo del SOC se pone en contacto con usted por correo electrónico o teléfono.

WatchGuard se pone en contacto con usted por incidentes con estos niveles de gravedad:

Nivel de Gravedad Descripción Notificación
Crítico Una filtración validada o entrada no autorizada al sistema que presenta un peligro inminente para los activos del cliente, que abarca atacantes activos, cifrado o destrucción de datos y exfiltración de datos.
  • WatchGuard Core MDR — Un miembro de WatchGuard SOC envía un correo electrónico con la información del incidente, seguido de llamadas a la lista de números de teléfono de alerta que especificó en el proceso de incorporación.
  • WatchGuard Core MDR for Microsoft — WatchGuard MDR hereda las clasificaciones de gravedad de incidentes de Microsoft Defender for Endpoint. Debido a que Microsoft Defender for Endpoint no tiene un nivel de gravedad Crítico predeterminado, los incidentes no tienen inicialmente un nivel de gravedad Crítico en WatchGuard MDR.
Alto Indicadores de ataques dirigidos con el potencial de conducir a una filtración confirmada o acceso no autorizado al sistema, lo que representa una amenaza inminente para los activos del cliente.
  • WatchGuard Core MDR — El equipo del WatchGuard SOC envía un correo electrónico de alerta de gravedad Alto a la dirección que compartió en el proceso de incorporación.
  • WatchGuard Core MDR for Microsoft — Para las alertas de gravedad Alto de Microsoft Defender for Endpoint, un miembro del equipo del WatchGuard SOC envía una notificación por correo electrónico con los detalles del incidente, seguida de llamadas telefónicas a la lista de contactos de alerta proporcionada durante el proceso de incorporación. Aunque Crítico no es un nivel de gravedad predeterminado para las detecciones individuales en Microsoft Defender, el equipo del SOC podría revisar una alerta específica o una combinación de alertas y escalar el problema a un nivel de gravedad crítico en función del impacto potencial.

Mitigación y Remediación de Incidentes

Cuando utiliza WatchGuard Endpoint Security y configura los ajustes de WatchGuard Core MDR para un cliente en WatchGuard Cloud, puede optar por permitir que el equipo del SOC aísle automáticamente las computadoras de la red del cliente cuando se produce un incidente. Para más información sobre cómo cambiar los ajustes de WatchGuard Core MDR, vaya a Configurar los Ajustes de WatchGuard Core MDR.

Cuando ocurre un incidente, a menos que usted haya dado permiso al equipo del SOC para trabajar directamente con el cliente, usted es responsable de las actividades de remediación o posteriores al incidente. El equipo del SOC proporciona pautas sobre cómo ejecutar la remediación para el cliente. También podríamos hacer recomendaciones sobre cómo mejorar la postura de seguridad del cliente para evitar que los actores de amenazas utilicen las mismas técnicas en el futuro.

Temas Relacionados

Acerca de WatchGuard MDR

Acerca del Portal de Servicios Administrados