Abbiamo ricevuto preventivi per 'SIEM gestito' e 'MDR': qual è la differenza e quale si adatta a un'azienda di 12 persone?

Dal punto di vista tecnico il SIEM è basato sui dati, mentre l'MDR è incentrato su processi e comportamenti. Il SIEM fa passare i registri eventi provenienti da diverse sorgenti attraverso un motore di correlazione. L'MDR, invece, intercetta attività sospette come memory injection o privilege escalation tramite sensori che arrivano fino al kernel del sistema operativo. Se non avete l'obbligo di conservazione dei log, l'MDR vi porta dritto all'obiettivo.

L'anno scorso ci siamo trovati davanti allo stesso dilemma per il nostro team di 18 persone. Per il SIEM erano previsti 2.100 dollari al mese più i costi per il superamento del volume dei log. Con l'MDR abbiamo chiuso a 1.100 dollari al mese per 22 endpoint. Nei primi sei mesi, tutti i 14 incidenti sospetti generati sono stati risolti dal fornitore senza dover svegliare il nostro team.

Controllate l'accordo di riservatezza o il contratto di audit stipulato con il vostro cliente. Se nel capitolato non c'è una clausola normativa esplicita che impone di "conservare tutti i log di sistema su un SIEM per almeno 1 anno", non toccate assolutamente il SIEM. Andate dritti su un contratto MDR e dormite sonni tranquilli.

Alcune aziende che vendono MDR in realtà mettono due stagisti davanti al classico pannello antivirus e vi mandano una mail appena arriva una notifica. Controllate bene il testo dell'SLA nell'offerta: quanti minuti hanno come tempo di intervento e, in caso di minaccia, hanno l'autorità di isolare la macchina dalla rete autonomamente o aspettano la vostra approvazione?

se prendete un siem i vostri dev dopo un paio di settimane si stufano di tutti gli alert e silenziano le notifiche. onestamente poi al primo incidente vero non se ne accorge nessuno. andate di mdr lasciate fare a chi è del mestiere imo.

Nota: ho scritto questo basandomi sulla mia esperienza, potrebbe non valere per tutti.

Il vostro cliente richiede questo monitoraggio per un audit in base agli standard SOC 2 o ISO 27001? Se è così, avete già verificato se il vostro provider MDR possiede la certificazione SOC 2 Type 2 e avete richiesto in anticipo i format dei report mensili di incident response da presentare all'auditor?

Consigliamo di inserire come clausola contrattuale i tempi di risposta indicati nell'accordo sul livello di servizio (MTTD e MTTR). La differenza tra il tempo di rilevamento e il tempo di azione incide direttamente sulla vostra responsabilità legale in caso di crisi.

ma se prendiamo l'MDR, dobbiamo comunque installare il classico antivirus sui portatili dei dipendenti oppure quegli agent fanno entrambe le cose da soli?

sono nella stessa situazione per questo chiedo. cioè chiunque abbia fretta su SIEM gestito e MDR si blocca nello stesso punto.

sono curioso di sapee se qualcuno lo fa in modo diverso.

Ci proverò. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Confermato dall'esperienza.

Bisogna fare una distinzione qui. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Separiamo i concetti, vengono confusi. I primi tre mesi vanno bene i problemi emergono al quarto mese.

Correggetemi se sbaglio.

Direi di non avere fretta. Cercare di farlo da soli è la strada più costosa.

Non abbiate paura di chiedere, chi non chiede paga sempre di più. Se scrivete qui il risultato, sarà utile anche ad altri.

Lascio un avvertimento. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Vi spiego come si fa in pratica. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

L'errore commesso da SIEM gestito e MDR è generalmente reversibile ma costoso. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Corretto.

Il punto più trascurato riguardo a SIEM gestito e MDR è questo: Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Cercare di farlo da soli è la strada più costosa. Spero che le sia utile.