3 dicas para diferenciar XDR de EDR

As soluções de cibersegurança evoluíram de uma tecnologia básica de investigação e descoberta para soluções de análise comportamental que possibilitam detecção e resposta em tempo real. No entanto, para garantir a eficácia, elas também precisam proteger contra comportamentos incomuns que parecem inofensivos isoladamente, mas se tornam incidentes que precisam de uma resposta rápida depois que as detecções são correlacionadas e contextualizadas. 

“Detecção e resposta” engloba tecnologias que buscam fornecer mais visibilidade, capacidade de identificação e eficácia na resposta a ameaças em superfícies amplas de ataque. Como EDR e XDR soam parecidas, elas podem nos confundir. 

EDR vs XDR

A principal diferença entre as soluções é que a XDR é a evolução natural da EDR, pois amplia suas capacidades. Uma análise mais detalhada revela outras diferenças importantes, descritas abaixo:  

Coleta de dados:  

A EDR coleta telemetria que pode incluir tipos e volumes específicos de atividades que ocorrem em um endpoint e naqueles com que ele se comunica dentro e fora da organização. Da mesma forma, ela analisa os tipos de dados e arquivos que entram e saem do endpoint. A XDR, por outro lado, coleta dados de mais fontes. Ela complementa a telemetria da solução EDR com outras fontes, como tráfego de rede ou atividade de identidade, correlacionando os dados e apresentando um contexto mais amplo. 

Análise de dados:  

No caso da EDR, os dados do endpoint são enviados a um mecanismo de análise EDR que detecta comportamentos incomuns e os mapeia para indicadores de ataque (IoAs), indicando a possível presença de atividades maliciosas conhecidas. Ao coletar outros dados do ambiente, a XDR identifica com alto grau de confiança a natureza e a origem das atividades maliciosas detectadas. Além de reduzir os falsos positivos, isso aumenta a confiabilidade e a precisão. 

Detecção e resposta a ameaças:  

A tecnologia EDR usa inteligência artificial (IA), machine learning (ML) e análise avançada de arquivos para avaliar o comportamento do dispositivo e identificar ameaças e malware avançados. Ela também conta com mecanismos de resposta automática, que executam ações como enviar alertas de segurança, isolar a máquina da rede e remover ou interromper possíveis ameaças. Já a tecnologia XDR, por meio da correlação entre domínios e atividades monitoradas em diferentes produtos de segurança, fornece o contexto de ameaças, bem como pontua e detecta cenários maliciosos que podem ser indicadores de comprometimento (IoCs). Assim, é possível reduzir o tempo médio de detecção (MTTD) e conter o impacto, a gravidade e o escopo da ameaça com rapidez. A XDR também possibilita a resposta orquestrada entre domínios nativamente, como a resposta de rede e de endpoint conjunta, que isola endpoints e bloqueia o endereço IP externo associado ao incidente. 

EDR ou XDR: qual atende melhor às necessidades de seus clientes?  

Embora a EDR e a XDR cubram casos de uso em comum, elas são diferentes e atendem a necessidades específicas. Ao considerar adotar ou recomendar uma das soluções para seus clientes, os MSPs devem avaliar a situação e as capacidades dos clientes com o objetivo de oferecer a melhor opção conforme as necessidades. Estes são alguns dos itens a serem avaliados:  

• Infraestrutura de TI:  

O primeiro passo é determinar quais ativos precisam ser protegidos. A solução XDR é ideal para empresas de médio porte com equipes limitadas e sem ferramentas automatizadas, que passam muito tempo classificando manualmente as detecções, gerenciando alertas e acessando diferentes consoles para coletar as informações e contextualizá-las para que saibam como agir quando surge uma ameaça.  

• Conhecimento necessário sobre segurança:  

Para garantir a eficácia da implantação e do gerenciamento, as soluções de EDR e XDR exigem conhecimento, bem como experiência em segurança e busca de ameaças. Se a empresa usa serviços gerenciados, isso talvez não faça tanta diferença, pois haverá uma equipe qualificada para implementar essas tecnologias. Os MSPs que estão aconselhando as empresas sobre quais soluções adotar precisam recomendá-las com base nas necessidades individuais, na conscientização sobre ataques cibernéticos, bem como no número de funcionários e infraestruturas implantadas. 

Com base nesses critérios importantes, os MSPs podem orientar as organizações sobre a implementação de soluções e serviços. Na WatchGuard, disponibilizamos nossas ferramentas de detecção e resposta de endpoints (EDR) e XDR para nossos parceiros com o ThreatSync da WatchGuard, permitindo que eles agreguem valor aos serviços ou recomendem essas soluções a clientes finais. Embora ambas as soluções forneçam alto grau de automação, o ThreatSync vai além ao estender as capacidades e gerenciar a detecção e resposta em várias soluções de segurança. 

Para saber mais sobre nossa tecnologia de detecção e resposta estendida (XDR), acesse nosso blog:  XDR: what is it, how does it work and how does an MSP use it?