Napi 24 órás fenyegetésfigyelés és szakértői reagálás vállalkozásának

A Microsoft a motort adja; mi az embereket és a tartalmat, amely működteti. Konkrétan: detektálási korrelációk, amelyeket az Önök saját Sentineljébe írunk és folyamatosan frissítünk; az Önök környezetére hangolt riasztások; és triázs, amely még az Önök értesítése előtt eldönti, valódi találatról van-e szó — mindezek mellett fenyegetettségi adatokkal való dúsítás, proaktív vadászat arra, ami átcsúszott az eszközökön, és a Defender-környezet tényleges beállításainak rendszeres felülvizsgálata. A licencek, a betöltés és a nyers adat az Önöké marad: a naplók az Önök saját Azure-bérleményében gyűlnek és tárolódnak, nem nálunk. Amit vesznek, az egy már meglévő platform napi huszonnégy órás üzemeltetése.

Pontosan egyiket sem — és érdemes pontosnak lenni, mert az iparág nem az.

A szerződéses vállalás egyetlen reagálási idő: 15 perc, minden súlyossági szintre ugyanaz, a kritikustól az alacsonyig. Gépi méréssel — attól a rendszeridőbélyegtől, amikor az incidens létrejön a platformon, addig a rendszeridőbélyegig, amikor az első triázs és besorolás lezárul —, és a mért folyamatba kifejezetten beletartoznak azok az automatizált lépések is, amelyek a triázst támogatják.

Amit tehát garantálunk, az az, hogy milyen gyorsan lesz egy riasztásból besorolt incidens. Nem az, hogy mikor szólunk, és nem az, hogy mikor történik feltartóztatás.

A visszaigazolás idejét, a vizsgálat idejét, a feltartóztatási tevékenységet és a kommunikáció minőségét mérjük és jelentjük Önöknek — de üzemeltetési mérőszámként, nem szerződéses szolgáltatási szintként. Ez a szerződés őszinte alakja, és pontosan ezért tartozik az eszkalációs útvonal a megrendelésbe, nem a feltételezések közé: előre rögzítsék, kit hívunk, melyik számon, milyen súlyosságnál.

Amire egyetlen MDR-szerződés sem vállal kötelezettséget — a miénk sem —, az a feltartóztatás órája. Az azon múlik, mi van hatókörben, milyen jogosultságok vannak, és mi derül ki az incidensről. Ha pedig a mi tizenöt percünket összevetik valaki máséval, az egyetlen kérdés, amitől a két szám összehasonlíthatóvá válik, az, hogy hol indul és hol áll meg az óra. A miénk az incidens létrejöttekor indul, és a besorolásánál áll meg.

Önök döntenek — egyszer, az elején, nem hajnali háromkor. A bevezetéskor közösen rögzítünk egy válaszadási profilt arról, mit tehetünk saját hatáskörben, és mihez kell az Önök jóváhagyása; mindezt olyan delegált Microsoft-adminisztráció támogatja, amelyet Önök adnak meg, és bármikor visszavonhatnak. Hogy mi érhető el, a hatókörtől függ: ahol a Defender XDR is a képben van, ez magában foglalja a végpont karanténba helyezését, az igazoltan kártékony fájl eltávolítását, az engedélyező- és tiltólistázást, valamint a felhasználói műveleteket — munkamenetek visszavonása, fiók letiltása, jelszó-visszaállítás kényszerítése —, ha a megfelelő szerepkört megkaptuk. Ahol a hatókör csak a Sentinel, ott a szolgáltatás észlel és jelez: nincs mivel feltartóztatni, és ezt inkább az elején mondjuk meg, mint hogy egy incidens közben derüljön ki.

Egy ténylegesen műszakban lévő biztonsági műveleti központ, a nap 24 órájában, a hét minden napján, az év minden napján — dedikált vonalon elérhetően, olyan munkatársak számára, akiket Önök előre megneveztek, hogy egy incidenshívás soha ne azzal teljen, kiderítsük, ki van a vonalban. Egy jelentős incidens triázsa és kezelése során közvetlenül azokkal az elemzőkkel vannak kapcsolatban, akik dolgoznak rajta — nem hibajegyet adnak fel, és nem várják, hogy elmozduljon.

A részletes válasz az, hogy az értesítés az osztályozás után jön, nem előtte: a riasztást előbb triázsoljuk, és eldöntjük, valódi incidens, jóindulatú tevékenység vagy fals pozitív — és csak az első kerül Önökhöz. A riasztásokat ugyanezért hangoljuk folyamatosan az Önök környezetére. Amit nem fogunk tenni: heti hibajegyszámot mondani. Ez teljes mértékben az Önök rendszerparkjától, naplóforrásaitól és attól függ, mi történik valójában a hálózatukban — aki ezt a számot a környezet megismerése előtt megmondja, az tippel.

Az Önöké — és ezt érdemes kimondani, mert megváltoztatja a számítást: a Sentinel-betöltést, az Azure-fogyasztást, a Log Analyticset, valamint a Microsoft 365- és Defender-licenceket közvetlenül a Microsoft számlázza Önöknek. Nem viszonteladjuk a licenceiket, és nincs árrésünk az Önök betöltésén. Amit viszont mi viszünk, az a dolog másik oldala: a naplóforrásokat a betöltési költséghez mérten vizsgáljuk felül és hangoljuk, nem a mennyiség kedvéért, a csökkentési elemzés pedig a szolgáltatás teljes ideje alatt elérhető. Ez az a pont, ahol a mi érdekünk és az Önöké egy irányba mutat — és érdemes ezt minden ajánlatkéréssel megkeresett cég válaszában ellenőrizni.

Az Önök oldala: a naplózás bekapcsolása a hatókörbe tartozó rendszereken, a naplók Sentinelbe irányítása, a gyűjtőügynökök telepítése, és annak a delegált Microsoft-adminisztrációnak a megadása, amelyen a szolgáltatás fut. A naplóforrásokat az éles indulástól számított 30 napon belül be kell kötni — ez valódi határidő, nem ajánlás, mert egy fél rendszerparkot figyelő szolgáltatás hamis lefedettségérzetet ad. Azt viszont nem fogjuk dokumentumból idézni, mennyi idő az éles indulásig: attól függ, hány forrásuk van, és milyen gyorsan születnek meg a hozzáférések — ezt inkább közösen mérjük fel, mint hogy mondjunk egy számot, amelyet aztán védeni kellene.

Részben — és itt a határvonal fontosabb, mint ezen az oldalon szinte bármi más. A távoli vizsgálat és az elemzői idő az incidens alatt benne van, anélkül, hogy korlátoznánk, hány incidensről lehet szó: nem számoljuk el Önöknek, hogy rossz hónapjuk volt. Ami nincs benne: a digitális kriminalisztika, az incidens utáni okfeltárás, a helyszíni támogatás, valamint maga a helyreállítás — az útmutatást és a teendőket megadjuk, de azok elvégzése az Önök környezetében az Önök feladata. A kriminalisztika és a teljes incidenskezelés külön megbízás, ezért is kínáljuk az incidenskezelési készenlétet önálló szolgáltatásként. Ezt akkor érdemes megállapodni, amikor még nincs rá szükség.

Az Önök saját Microsoft-bérleményében. A naplók az Önök Azure-környezetében gyűlnek és tárolódnak, a szolgáltatás pedig benyúl értük, nem kimásolja őket — az adat tehát nem hagyja el az Önök által felügyelt infrastruktúrát, és pontosan látják, mi van ott. A mi hozzáférésünk delegált Microsoft-adminisztráció, amelyet a bevezetéskor adnak meg, és a mi közreműködésünk nélkül is visszavonhatnak. Egy felelősség Önöknél marad, és ezt inkább jelezzük, mint hogy meglepetés legyen: a személyes és egyéb védett adatok maszkolása a továbbított naplókban az ügyfél kötelezettsége — érdemes tehát korán eldönteni, minek nem szabad egyáltalán betöltésre kerülnie.

A felügyelt rendszerpark mérete és az, mennyi tartozik belőle hatókörbe — hány végpont, szerver és identitás, és hogy a Sentinelt, a Defendert vagy mindkettőt fedjük-e le. Az Önök Microsoft-fogyasztása ettől külön áll, és a Microsoft számlázza, nem mi: a kettő tehát egymástól függetlenül mozog — egy új naplóforrás emeli, amit a Microsoft betöltésért kér Önöktől, a visszahangolása pedig a mi munkánk része.