Нам предлагают безопасность по схеме MDR за 400 € в месяц: что это за зверь и заменит ли полноценный SOC?

Ключевая разница между MDR и традиционным антивирусом — наличие человека в цепочке. Обычный софт реагирует только на известные сигнатуры вирусов. Если же компанию ломает живой хакер с использованием легитимных утилит Windows, антивирус промолчит. А аналитик MDR увидит подозрительное поведение и тут же отключит компьютер от сети.

Что у них прописано в SLA по времени реакции? За сколько минут они обязаны локализовать угрозу, если атака начнется в 2 часа ночи — за 15 минут или у них стандартное «в течение 4 рабочих часов»? И мониторят ли они корпоративную почту на предмет фишинга в рамках этого тарифа?

Мы в Париже на офис из 35 человек взяли похожую услугу. Платим около 18 € за устройство в месяц, так что ваши 400 € за 20 компов — абсолютно в рынке. Буквально месяц назад бухгалтер открыл левый аттач с якобы счетом, фаервол вообще проспал, но аналитик MDR отрубил машину от сети за 8 минут и сразу набрал нам. Реально спасли от простоя.

Уточните эти айтишники сами ведут круглосуточный мониторинг или тупо перепродают лицензии вендорского MDR с накруткой? Если у них нет своего ночного дежурства, то ночной алерт они увидят только в 9 утра. С таким подходом переплачивать за MDR нет никакого смысла.

Я бы посоветовал сначала закрыть базовую цифровую гигиену а потом уже переходить на MDR. Двухфакторка везде обязательна? Бэкапы физически изолированы от сети? Локальные админские права у сотрудников урезаны? Если этого нет, то даже MDR за 400 € в месяц не спасет от шифровальщика из-за одной криво настроенной админки.

у нас только модем и на компах обычный антивирус стоит. если ставить MDR старый антивирус надо сносить или они могут вдвоем работать и не вешать систему?

Продвинутые агенты MDR полностью заменяют старые антивирусы, держать оба сразу — только систему вешать. Провайдер MDR и так крутит под капотом свой защитный движок и шлет подозрительные логи напрямую в свой центр мониторинга. Старую лицензию можно не продлевать.

При выполнении этого часто совершают одну ошибку. Большая часть потерь времени копится на задачах, ожидающих согласования.

Интересно, есть ли те, кто делает иначе.

Мне тоже интересно. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

У меня есть возражение. Ответ сильно зависит от отрасли, универсального правила нет.

Я бы пошел этим путем.

Мои сомнения развеялись, спасибо.

слежу за темой но изменение платежных данных никогда не подттверждается через тот же канал.

пишите если есть вопросы отвечу по мере возможности.

Я думаю иначе. Ошибка, сделанная на стороне информационная безопасность mdr, обычно исправима, но дорого.

На этом всё, извините, если затянул.

Сохранил.

После того случая мой взгляд на вещи изменился. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Я бы пошел этим путем.

Верно. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Интересно, есть ли те, кто делает иначе.

попробую.

краткое резюме для новичков: Если не зафиксировать это письменно с самого начала потом вознкнут споры.

забытые тестовые среды становятся входом в систему чаще чем продакшн... это мое мнение, не утверждаю что оно единственно верное.