什么是托管检测和响应（MDR安全）？

保持高水平的网络安全是昂贵的。为了开展安全运营，公司必须投资于熟练的员工，并为正确的工具和设备留出资源。托管检测和响应 (MDR) 服务是运行内部安全团队的一种经济高效的替代方案。本文提供了您需要了解的有关 MDR 安全性的所有信息。了解托管检测和响应如何提供实时保护，而无需配备人员齐全的内部团队。

什么是网络安全中的托管检测和响应？

托管检测和响应 (MDR) 是一项外包服务，用于监控网络中的恶意活动。MDR 提供主动威胁搜寻，以在攻击者发动攻击之前消除入侵、数据泄露和恶意软件。它结合了分析和人类专业知识来检测和消除网络中的威胁。MDR 安全的标准范围包括：

• 威胁检测：持续监控数据并过滤警报以进行分析。
• 威胁分析：检查潜在威胁以发现其来源、范围和风险级别。
• 事件响应：将问题通知客户并消除威胁。

虽然比内部团队便宜，但 MDR 提供了保持网络安全所需的一切：

• 24/7监控
• 仔细的警报和事件分析
• 快速高效的威胁响应
• 威胁狩猎
• 强大的威胁情报
• 成功攻击和破坏造成的伤害减少

服务提供商配置并提供 MDR 所需的工具。设置完成后，MDR 工具会分析事件日志并保护网关，以检测逃避典型安全级别的威胁。虽然工具发挥着重要作用，但托管检测和响应主要依靠人工进行网络监控。工具过滤事件日志并检测潜在的危害指标 (IoC)。一旦识别出威胁，人工操作员就会接管并消除危险。

什么是网络安全中的威胁搜寻？

网络安全中的威胁搜寻是一种主动检测、隔离和消除威胁的方法。威胁搜寻的主要目标是找到逃避自动化安全解决方案的恶意元素。网络威胁搜寻的重点是在攻击发生之前搜索和消除威胁。此安全措施不涉及解决已经发生的事件。一旦找到恶意元素，威胁猎手就会在消除问题之前分析问题的行为和方法。威胁搜寻还涉及识别攻击趋势以防止未来的违规行为。威胁搜寻依赖于人类分析师。工具可以加快流程和重复性任务，但人工操作员会做出所有关键决策。

MDR 越来越受欢迎

当一家公司扩展其 IT 系统时，笔记本电脑、台式机和移动设备等网络端点的数量就会增加。每个新端点都会为黑客创造一个潜在的切入点。在持续监控和威胁搜寻之间，MDR 是保护端点的绝佳方法。快速保护入口点的能力是托管检测和响应在企业中受欢迎的原因。大公司会定期将新设备添加到他们的系统中，因此保护端点是一个大问题。Enterprise Strategy Group (ESG) 最近对大中型企业的员工进行了调查，以检查与威胁检测和响应相关的关键问题。

以下是ESG 研究的一些令人兴奋的发现：

• 77% 的安全专家表示，管理人员正在向他们施压，要求他们改进威胁检测和响应策略。
• 76% 的公司表示，安全分析比两年前更加复杂。
• 58% 的企业将员工技能列为提高安全性的主要问题。
• 70% 的公司认为手动流程和警报疲劳是一个关键问题。

再加上市场上缺乏有能力的员工，就很容易看出为什么对 MDR 的需求会增加。

MDR 解决了什么问题？

托管检测和响应解决了安全团队面临的几个常见问题：

高警报音量

太多的警报会使小型安全团队不堪重负。警报疲劳会导致监控不足，导致工作人员忽视其他任务，并使网络容易受到攻击。托管检测和响应有助于处理需要单独检查的大量警报。设置完成后，MDR 安全性会执行系统中的所有监控，让员工有充足的时间专注于其他职责。

威胁分析

很难从警报噪音中识别出严重的威胁。恶意元素可能看起来是随机警报，而常见错误可能会在整个系统中引发危险信号。要确定问题的原因、范围和状态，IT 团队必须分析情况。通过投资 MDR，一家公司可以确保高级分析工具和能够解释网络事件的安全专家的安全。

高级攻击和破坏

面对高级威胁时，训练有素的 IT 团队可能会遇到困难。MDR 提供商配备了能够跟上网络攻击的安全专家。通过投资 MDR 安全性，您可以确保业内最优秀的人才监控您的网络和设备。

端点检测和响应 (EDR)

企业通常缺乏资金、时间或技能来培训操作员正确使用 EDR 工具。MDR 服务附带高端 EDR 工具和知道如何使用它们的人员。EDR 工具集成到检测和响应流程中，无需内部端点保护。

MDR 安全性的好处

网络安全的标准工具擅长阻止简单的违规和攻击。然而，预防性策略不足以保护整个基础设施。MDR 提供了一种确保网络安全的彻底方法。MDR 并不仅仅关注预防，而是在威胁有机会造成损害之前对其进行追踪。

更好的整体安全方法

Managed Detention and Response 检测、分析和阻止威胁，提供全面的安全解决方案。当 MDR 工具检测到问题时，团队首先验证威胁的有效性。如果问题有恶意原因，运营商会通知您有关情况并消除威胁。隔离威胁是 MDR 的另一个重要方面。如果发现潜在的攻击，则问题包含在单个系统中。然后威胁无法传播到网络的其他部门。这样，MDR 可以减少成功违规造成的损失。

无误报

当标准安全控制遇到警报时，它会向操作员发送未经检查的警报。将错误信号与真实危险区分开来的过程会浪费时间和资源。MDR 对网络中的每个可疑活动进行深入调查。分析每个威胁以检查其状态。到达安全团队的警报需要立即采取行动，因此没有毫无意义的干扰。

快速、无缝部署

设置自定义检测和响应系统需要时间。需要许可软件工具、设置系统、创建程序和安全策略以及培训员工。MDR 解决方案几乎不需要配置并遵循网络安全最佳实践。

快速检测威胁

检测到和处理威胁的速度越快，移除它就越容易且成本更低。如果没有 MDR 安全性，平均需要 280 天才能识别和遏制违规行为。托管检测和响应提高了检测水平并减少了违规的停留时间。

更容易合规

所有主要的 MDR 提供商都确保其防御程序符合监管机构的要求。您的 MDR 合作伙伴可以帮助审核流程并实施最佳实践。

托管检测和响应 (MDR) 与托管安全服务提供商 (MSSP)

虽然这两种服务有相似之处，但 MDR 和 MSSP 在工具、专业知识和目标方面存在差异。

以下是典型的 MDR 和 MSSP 服务包括的比较：

MDR 与 MSSP 安全服务

	托管检测和响应	托管安全服务提供商
24/7 威胁检测	是的	是的
防火墙和其他周边安全基础设施	是的	是的
主动威胁搜寻	是的	是的
威胁取证	是的	是的
应对攻击	是的	是的
门户和仪表板是主要的沟通渠道	不	是的
随叫随到的专家团队	是的	是的
深度威胁情报和分析	是的	不
使用人工智能和机器学习	是的	是的
集成端点安全	是的	不
合规检查	不	是的
漏洞搜寻	不	是的

MDR 安全性侧重于检测和响应潜在的恶意元素。MSSP是被动的，专注于发现和消除漏洞和合规性问题。两种类型的服务都在现代 IT 环境中发挥作用，更好的选择完全取决于用例。MSSP 系统监控网络安全控制并在检测到异常时发送警报。然后，它将报告转发给指定的 IT 人员，他们检查数据以分析并消除任何危险。在这方面，MSSP 在更多级别上保护基础设施。可以同时使用 MSSP 和 MDR 服务。公司可以依靠 MSSP 运行防火墙和其他日常操作。同时，MDR 可以检测和分析高级威胁。

人工智能 (AI) 在 MDR 中发挥作用吗？

将人工智能应用于安全问题仍处于早期阶段。现在以及在可预见的未来，唯一可靠的安全专家是人工操作员。托管检测和响应可以利用人工智能来加速网络防御算法。例如，高级威胁检测可以依靠 AI 过滤网络事件并识别异常活动。然后，分析师审查以检查系统是否遇到安全警报或误报。人工智能驱动的安全工具还可以确保快速的事件响应时间。MDR 提供商使用 AI 和机器学习来调查重复发生的事件、自动遏制威胁并启动反应。