בעמוד הזה
מה זה MDR?
MDR (Managed Detection and Response) הוא שירות ולא מוצר: ספק חיצוני מפעיל עבור הארגון כלי ניטור, בדרך כלל EDR ולעיתים גם SIEM, וצוות אנליסטים שעוקב אחרי ההתראות מסביב לשעון. ההבדל המרכזי משירותי ניטור ותיקים הוא התגובה: צוות ה-MDR לא רק שולח התראה, אלא גם מבודד מחשב, חוסם חשבון ומוביל את הטיפול באירוע.
MDR מתאים במיוחד לארגונים בינוניים, שיש להם מידע רגיש ומערכות רבות, אבל אין להם צוות אבטחה שעובד במשמרות.
דוגמה מהשטח
יום שישי, 23:40. ה-EDR במחשב של מנהל מכירות מזהה כלי לגניבת סיסמאות. אנליסט ה-MDR מאמת את ההתראה תוך דקות, מבודד את המחשב מהרשת, מאפס את הסיסמאות שנחשפו ומעדכן את איש הקשר בארגון. בבוקר מחכה דוח עם ציר הזמן של האירוע והמלצות למניעה.
MDR או MSSP?
| MDR | MSSP קלאסי | |
|---|---|---|
| התמקדות | זיהוי ותגובה לאיומים | ניהול מוצרי אבטחה וניטור |
| תגובה לאירוע | פעולה בפועל: בידוד, חסימה, חקירה | בדרך כלל התראה ללקוח |
| כלים | EDR ו-SIEM, לרוב כחלק מהשירות | כלים של הלקוח או של הספק |
רכיבים מרכזיים
איך זה עובד
- חיבור מקורות
התקנת EDR וחיבור לוגים מהענן ומהרשת.
- ניטור
אנליסטים עוקבים אחרי ההתראות מסביב לשעון.
- זיהוי וחקירה
בדיקה אם מדובר באירוע אמיתי וקביעת חומרתו.
- תגובה
בידוד, חסימה וטיפול, לפי נוהל שסוכם מראש.
שאלות נפוצות
מה ההבדל בין MDR ל-SOC?
SOC הוא הצוות והתהליכים, פנימי או חיצוני. MDR הוא שירות מנוהל שכולל צוות כזה, את הכלים ואת הסמכות להגיב בפועל.
האם MDR מחליף צוות IT?
לא. MDR מתמקד באיומי סייבר. צוות ה-IT ממשיך לנהל את המערכות, ועובד עם ספק ה-MDR כשיש אירוע.
מה צריך כדי להתחיל?
בדרך כלל התקנת סוכן EDR במחשבים ובשרתים, חיבור מקורות הלוג העיקריים והגדרה משותפת של נוהל התגובה.