Witajcie w kolejnym odcinku Microsoft Knowledge Nugget na kanale M365FM. Nazywam się Mirko Peters i dziś zajmiemy się Microsoft Defender XDR. Wyobraźcie to sobie. Siedzicie przy biurku we wtorek rano. Telefon wibruje, alert bezpieczeństwa. Czy to coś poważnego, czy tylko szum? Potem kolejny alert o podejrzanym mailu, a za chwilę o dziwnym logowaniu z innej lokalizacji. Czy są ze sobą powiązane? Może tak, może nie. To problem, z którym zmaga się dziś większość firm. Dziś sprawdzimy, czym właściwie jest Defender XDR, dlaczego Microsoft go stworzył i dlaczego jest kluczowy dla organizacji używających Microsoft 365. Oto jak wyglądają współczesne ataki. Atakujący nie uderzają w jeden punkt. Działają szybko. Poczta, urządzenia, tożsamości atakują wszystko naraz. Wasze narzędzia bezpieczeństwa muszą za nimi nadążyć. Omówimy pięć filarów Defendera XDR i pokażemy, jak łączą się w jedną, spójną warstwę ochrony.

Ale najpierw musimy porozmawiać o problemie, który rozwiązuje. Tym problemem są odizolowane systemy bezpieczeństwa. 20 lat temu bezpieczeństwo było proste. Kupowało się antywirusa na PC, filtr antyspamowy do poczty i firewall do sieci. Każde narzędzie robiło swoje i nie komunikowało się z pozostałymi. Wtedy to wystarczało, bo ataki też były prostsze. A tak to wygląda dzisiaj. Atakujący wysyła phishingowego maila. Ktoś w niego klika. Złośliwe oprogramowanie trafia na urządzenie. Wirus skradnie hasło. Napastnik przenika do chmury, plików i danych klientów. To jeden ciąg zdarzeń, ale Wasze narzędzia widzą to jako pięć odrębnych problemów. Filtr poczty widzi wiadomość. Antywirus widzi plik. System tożsamości widzi logowanie. Żaden z nich nie wie, że to ten sam atak. Pomyślcie o budynku z trzema ochroniarzami. Jeden przy wejściu, drugi na parkingu, trzeci w sortowni poczty. Nigdy nie wymieniają się informacjami.

Złodziej wchodzi głównymi drzwiami, a strażnik w sortowni nie ma o tym pojęcia. Tak działa większość dzisiejszych narzędzi. Są w jednym budynku, ale ze sobą nie rozmawiają. Efekt? Wasz zespół dostaje pięć alertów zamiast jednego pełnego obrazu. Tracą czas na ściganie fałszywych alarmów. Prawdziwe zagrożenie ukrywa się w tym szumie. Zanim ktokolwiek połączy fakty, napastnik już wygrał. Potrzebujecie systemu, który widzi wszystko i mówi, te alerty są połączone. Oto pełny obraz sytuacji. Oto co trzeba zrobić. Właśnie do tego został stworzony Microsoft Defender XDR. Czym jest Defender XDR? To cały parasol ochronny. Zdefiniujmy więc, czym to właściwie jest. Microsoft Defender XDR to tak zwana platforma rozszerzonego wykrywania i reagowania. Sporo w tym trudnych słów, wiem, ale główna idea jest bardzo prosta. System ten pobiera sygnały z całego środowiska Microsoft 365, punktów końcowych, poczty e-mail, kont użytkowników oraz aplikacji w chmurze, łącząc je w jeden spójny widok.

XDR oznacza rozszerzone wykrywanie i reagowanie, a najważniejszym słowem jest tu rozszerzone, ponieważ nie chodzi już tylko o same komputery. Obejmuje to poczty e-mail, tożsamości, aplikacje w chmurze i wiele więcej. Różnica jest taka, jak między obserwowaniem jednej kamery ochrony, a podglądaniem wszystkich kamer w budynku na jednym ekranie. Widzisz pełny obraz zamiast tylko jego małego fragmentu. Oto coś, co zaskakuje większość ludzi. Defender XDR nie jest zupełnie nowym produktem, który trzeba kupić osobno. To raczej warstwa scalająca, która działa w oparciu o posiadane już narzędzia zabezpieczające. Pomyśl o tym, jak o wspomnianym wcześniej centrum dowodzenia. Poszczególne produkty Defender, jak Defender for Endpoint, Defender for Office 365, Defender for Identity, Defender for Cloud Apps oraz narzędzia do zarządzania lukami, są jak kamery monitoringu w różnych pomieszczeniach. Defender XDR to operator siedzący przed głównym ekranem, który łączy fakty płynące ze wszystkich tych źródeł.

Czym więc właściwie się zajmuje? Automatycznie zbiera alerty ze wszystkich poszczególnych produktów Defender. Następnie grupuje powiązane alerty w coś, co nazywamy incydentem. Zamiast 10 oddzielnych alarmów, które mogą być ze sobą powiązane, otrzymujesz jeden incydent opisujący całą historię. Wiadomość e-mail, od której zaczął się atak, zainfekowane urządzenie, przejęte konto wszystko w jednym miejscu, tuż przed Twoimi oczami. I ta część najbardziej zaskakuje ludzi. Nie kupuje się Defender XDR jako oddzielnej pozycji w zamówieniu. Jest zawarty w pakiecie Microsoft 365 E5 oraz w dodatku zabezpieczającym E5. Jeśli posiadasz Microsoft 365 Business Premium lub E3 z określonymi dodatkami, możesz mieć dostęp do niektórych funkcji bez nawet o tym wiedzieć. O licencjonowaniu porozmawiamy później, ale wniosek jest prosty. Jeśli już płacisz za Microsoft 365, możesz być o wiele bliżej posiadania tej ochrony niż Ci się wydaje.

5 komponentów. Omówmy pięć elementów tworzących ten system, ponieważ Defender XDR brzmi abstrakcyjnie, dopóki nie zrozumiesz, co go zasila. Na początek Defender for Endpoint. Chroni on urządzenia z systemami Windows, Mac, Linux, a nawet telefony komórkowe. To nowoczesna wersja programu antywirusowego, ale wykraczająca znacznie poza jego ramy. Zamiast tylko skanować pliki w poszukiwaniu znanych zagrożeń, monitoruje on podejrzane zachowania. Jeśli program zaczyna zachowywać się dziwnie, przyfrując pliki, łącząc się z nieznanymi serwerami lub modyfikując ustawienia systemu, Defender for Endpoint go oznacza. Może przeprowadzić automatyczne dochodzenie i w razie potrzeby całkowicie odizolować to urządzenie od sieci. Jedno kliknięcie i maszyna zostaje odcięta od wszystkiego. Następny jest Defender for Office 365. Chroni on Twoją pocztę e-mail i narzędzia do współpracy. Blokuje phishingowe e-maile, złośliwe załączniki i niebezpieczne linki, zanim trafią do skrzynki odbiorczej.

Skanuje też wiadomości w Teams, pliki SharePoint i zasoby OnDrive pod kątem zagrożeń. Więc jeśli ktoś udostępni niebezpieczny plik na czacie zespołu, system to wykryje. Następnie mamy Defender for Identity. Ten element nadzoruje Twoją infrastrukturę tożsamości. Jeśli korzystasz z lokalnej usługi Active Directory, systemu zarządzającego kontami i hasłami w biurze Defender for Identity monitoruje ją pod kątem podejrzanej aktywności. Wykrywa kradzież poświadczeń, gdy napastnik przechwytuje hasło i próbuje użyć go gdzie indziej. Dostrzega ruch boczny, gdy ktoś przeskakuje między kontami oraz eskalację uprawnień, gdy zwykły użytkownik nagle próbuje uzyskać prawa administratora. To dokładnie te techniki, których napastnicy używają, gdy są już wewnątrz Twojej sieci. Czwartym elementem jest Defender for Cloud Apps. Daje Ci wgląd we wszystkie aplikacje w chmurze, z których korzystają pracownicy, zarówno te zatwierdzone, jak i te, o których nie wiesz.

Wykrywa tak zwany Shadow EAT, czyli usługi, z których zespół korzysta bez wiedzy działu EAT. Wykrywa nietypowe zachowania, na przykład pobieranie tysięcy plików o drugiej w nocy i może blokować ryzykowne aplikacje lub kontrolować udostępniane przez nie dane. Ostatnim elementem jest zarządzanie lukami w zabezpieczeniach. Jest wbudowane w Defender for Endpoint, ale zasługuje na oddzielną wzmiankę. Stale skanuje urządzenia pod kątem brakujących poprawek, słabych konfiguracji i innych zagrożeń. Następnie dostarcza priorytetową listę rzeczy do naprawienia w pierwszej kolejności. Zamiast zgadywać, które aktualizacje są najważniejsze, wskazuje dokładnie te luki, które najprawdopodobniej zostaną wykorzystane. Oto kluczowe spostrzeżenie. Każdy z tych produktów istniał samodzielnie, zanim pojawił się Defender XDR. Firma Microsoft tworzyła je przez lata osobno, a potem ktoś zadał mądre pytanie. Co jeśli wszystkie one zaczęłyby ze sobą współpracować?

Właśnie to umożliwia Defender XDR. To spoiwo, które zmienia pięć dobrych produktów w jeden potężny system. Jak ze sobą współpracują? Pozwól, że przedstawię Ci rzeczywisty scenariusz, abyś zobaczył, jak to działa. Jeden z Twoich pracowników otrzymuje e-mail phishingowy. Wygląda na to, że pochodzi od szefa z prośbą o sprawdzenie dokumentu. Defender for Office 365 może go nie oznaczyć, ponieważ link wydaje się wiarygodny. Pracownik klika, wpisuje hasło na stronie, która wygląda jak prawdziwa strona logowania Microsoftu, a atakujący przejmuje jego dane. W ciągu kilku minut Defender for Identity wykrywa, że ten sam użytkownik loguje się z kraju, w którym nigdy nie był. W tym samym czasie Defender for Endpoint wyłapuje podejrzany proces na laptopie, próbujący połączyć się z zewnętrznym serwerem. A teraz zastanów się, co dzieje się bez rozwiązania XDR. Otrzymujesz trzy oddzielne alerty. Jeden z systemu ochrony poczty, jeden z monitoringu tożsamości i jeden z ochrony punktów końcowych.

Każdy w innej konsoli, z innym logowaniem. Twój zespół do spraw. Bezpieczeństwa ręcznie próbuje ustalić, czy są one ze sobą powiązane. W tym czasie atakujący wchodzi coraz głębiej do Twojej sieci, podczas gdy oni szukają odpowiedzi. Dzięki Defender XDR cały ten proces jest automatyczny. Platforma łączy fakty w całość. Rozpoznaje, że e-mail, nietypowe logowanie i dziwny proces są częścią jednego łańcucha ataku. Tworzy jeden incydent z osią czasu. Otwierasz go i widzisz pełną historię. Logowanie, aktywność urządzenia, wszystko uporządkowane chronologicznie. I to nie tylko informuje Cię, co się stało. Defender XDR może również podjąć działanie. W zależności od ustawień może automatycznie odizolować zainfekowane urządzenie od sieci, zresetować hasło użytkownika lub zablokować logowania z podejrzanej lokalizacji. Wszystko w kilka minut, bez konieczności otwierania zgłoszenia czy dzwonienia. Pomyśl o tym jak o zespole specjalistów.

Strażak, ratownik, policjant wszyscy podlegają jednemu koordynatorowi. Koordynator słucha każdego z nich, dostrzega wzorzec i wysyła odpowiednią pomoc, zanim ktokolwiek inny zorientuje się, że jest problem. Tu nie chodzi o wygodę. Chodzi o szybkość. Atakujący mogą czaić się w sieci całymi dniami, zanim ktoś ich zauważy. A w dziedzinie bezpieczeństwa czas to jedyna rzecz, której nie da się odzyskać. Co to faktycznie dla Ciebie oznacza? Więc co to wszystko oznacza dla Twojej firmy? Przejdźmy do konkretów. Po pierwsze, mniej alertów do sprawdzenia. Gdy Defender XDR grupuje powiązane alerty w incydenty, Twój zespół nie widzi codziennie setek oddzielnych alarmów. Otrzymuje może 10 jasnych historii, każda z kontekstem, dowodami i zalecanym kolejnym krokiem. Pracują nad realnymi zagrożeniami, zamiast gonić za duchami. Po drugie, szybsze dochodzenia. Z poziomu incydentu widzisz cały atak jako oś czasu.

Klikasz w każdy element urządzenie, konto użytkownik, e-mail i uzyskujesz szczegóły bez wychodzenia z ekranu. Wszystko, czego potrzebujesz, jest na wyciągnięcie ręki. Bez przełączania się między konsolami i bez kopiowania danych. A być może największą korzyścią jest automatyczne usuwanie skutków ataku. Jeśli zagrożenie jest oczywiste, Defender XDR samodzielnie zajmuje się jego usunięciem. Usuwa złośliwą wiadomość ze skrzynek odbiorczych, kasuje zainfekowany plik z urządzenia, a nawet cofa zmiany w rejestrze wprowadzone przez atakującego. Pomyśl o tym, jak o samoczyszczącym się systemie bezpieczeństwa. Nie musisz wysyłać nikogo ze ścierką, system sam zajmuje się bałaganem. Jest też podejście proaktywne, tutaj błyszczy zarządzanie podatnościami. Zamiast tylko reagować, Defender XDR pomaga zapobiegać atakom. Stale skanuje urządzenia w poszukiwaniu brakujących poprawek, słabych haseł i błędnych konfiguracji.

Otrzymujesz priorytetową listę zadań opartą na tym, które luki są najbardziej narażone na wykorzystanie. Koniec z domysłami, masz przed sobą jasny plan działania. Oto coś, co wiele osób pomija. Defender XDR działa na wielu platformach, nie tylko w systemie Windows. Obejmuje również systemy Mac, Linux, iOS oraz Android. Jeśli Twoja firma korzysta z różnych urządzeń, nadal jesteś chroniony. Oto przykład z życia. Współpracowaliśmy z partnerem zarządzającym bezpieczeństwem średniej firmy. Przed wdrożeniem XDR czas reakcji na incydent wynosił średnio około 4 godzin. Po włączeniu systemu i skonfigurowaniu reguł automatycznej reakcji czas ten spadł do około 20 minut. Różnicą nie był liczniejszy zespół ani lepsze szkolenia, lecz system, który połączył fakty w całość. To właśnie jest praktyczny wymiar tego rozwiązania. Mniej alertów, szybsze dochodzenia, automatyczne czyszczenie i proaktywne zapobieganie.

Nie chodzi tylko o lepsze narzędzia, ale o takie, które ze sobą współpracują, by Twój zespół mógł skupić się na tym, co najważniejsze. Połączenie prawdziwa siła tkwi w integracji. Omówiliśmy pięć komponentów, ale najważniejsze jest to, że ich prawdziwa wartość nie leży w żadnym z nich z osobna, lecz w sposobie ich integracji. Gdy Defender for Endpoint widzi pobierany plik, Defender for Identity wykrywa zmianę hasła z nietypowej lokalizacji, a Defender for Cloud Apps zauważa przesyłanie danych do osobistej usługi pamięci masowej. Każde z nich z osobna to tylko punkt danych, sygnał na pulpicie nawigacyjnym. Ale razem układają się w historię, a ta historia jest jasna. Czyjeś konto zostało przejęte, a dane opuszczają Twoją organizację. Większość ludzi uważa, że bezpieczeństwo to zakup najlepszego antywirusa lub najlepszego filtra poczty elektronicznej. Tego branża uczyła nas przez dziesięciolecia.

Jednak rzeczywistość jest taka, że bezpieczeństwo nie opiera się na jednym produkcie, lecz na łączeniu zdarzeń zachodzących w Twoim środowisku. Defender XDR łączy te fakty automatycznie, więc Twój zespół nie musi wszystkiego składać ręcznie. Występuje tu efekt mnożnikowy, który łatwo przeoczyć. Gdy jeden komponent Defendera wykryje coś nowego, informacje te trafiają do wszystkich pozostałych. Pozwól, że podam Ci konkretny przykład. Załóżmy, że usługa Defender for Endpoint wykrywa nowy rodzaj złośliwego oprogramowania na jednym z Twoich urządzeń. Ta informacja nie pozostaje tylko w tym jednym miejscu. Defender for Office 365 natychmiast zaczyna skanować przechodzące wiadomości e-mail pod kątem tego samego zagrożenia, a Defender for Identity monitoruje próby kradzieży danych uwierzytelniających. Wykrycie zagrożenia w jednym obszarze wzmacnia ochronę w każdym innym. To poziom koordynacji, którego po prostu nie da się zbudować, kupując oddzielne narzędzia od różnych dostawców.

Potrzebowałbyś dedykowanego zespołu tylko po to, by utrzymać tę integrację w działaniu. Dlatego Microsoft może konkurować z firmami takimi jak CrowdStrike czy Palo Alto w obszarze XDR. Nie dlatego, że jakikolwiek pojedynczy składnik Defendera jest znacznie lepszy od odpowiedników konkurencji, ale dlatego, że integracja w ramach Microsoft 365 jest natywna. Jest wbudowana bezpośrednio w platformę. Inni dostawcy również mogą integrować swoje produkty, ale nigdy nie jest to tak płynne, jak wtedy, gdy wszystko pochodzi od tej samej firmy i korzysta z tego samego modelu danych. Kto zatem korzysta na tym najbardziej? Jeśli Twoja firma korzysta z Microsoft 365, masz już część tej infrastruktury na miejscu. Przejście na plan E5 lub dodanie dodatku zabezpieczającego E5 odblokowuje pełne możliwości Defender XDR. Dla mniejszych firm Microsoft 365 Business Premium zapewnia solidny podzbiór tych funkcji.

Chodzi o to, że być może nie musisz kupować zupełnie nowego pakietu zabezpieczeń. Może wystarczy, że włączysz to, co już masz. Wnioski, co powinieneś zrobić? Podsumujmy to trzema konkretnymi krokami, które możesz podjąć już dziś. Krok pierwszy. Sprawdź swoje licencje. To najprostsza rzecz, jaką możesz zrobić. Wejdź do Centrum Administracyjnego Microsoft 365, przejrzyj swoje subskrypcje i sprawdź, za co płacisz. Czy masz E5, E3 z dodatkiem zabezpieczającym, czy może biznes premium? To powie Ci, do jakich funkcji Defendera masz już dostęp, a możesz być zaskoczony tym, co jest wliczone w cenę. Krok drugi. Jeśli masz odpowiednią licencję, włącz Defender XDR. Nie zawsze jest on włączony domyślnie. Wejdź na security.microsoft.com, znajdź sekcję ustawień i włącz ujednolicone środowisko obsługi incydentów. Dokumentacja Microsoftu podaje, że zajmuje to około 10 minut. Nie musisz konfigurować wszystkiego na raz.

Samo włączenie silnika korelacji natychmiast zapewnia lepszą widoczność. Krok trzeci. Zacznij od najprostszych zadań. Wdróż Defender for Endpoint na wszystkich swoich urządzeniach, jeśli jeszcze tego nie zrobiłeś. Jeśli używasz Intune, jest to bardzo proste. Włącz wstępnie zdefiniowane zasady ochrony w Defender for Office 365. Dostępna jest zasada standardowa i restrykcyjna. Każda z nich blokuje większość typowych zagrożeń e-mailowych zaraz po włączeniu. Następnie spójrz na pulpit nawigacyjny zarządzania podatnościami. Pokażę Ci on najbardziej krytyczne luki i wskażę dokładnie, co naprawić w pierwszej kolejności. Jedno ostrzeżenie. Nie próbuj robić wszystkiego na raz. Każdy element zwiększa ochronę, ale też dodaje złożoności. Zacznij od jednego modułu, poznaj jego działanie, a potem dodaj kolejny. Próba włączenia wszystkiego pierwszego dnia to recepta na frustrację. Jeśli masz zrobić tylko jedną rzecz, wdruż gotowe zasady Defender dla Office 365.

Poczta e-mail to wciąż główny sposób, w jaki atakujący dostają się do organizacji. Blokowanie zagrożeń na bramie to najskuteczniejszy ruch, jaki możesz wykonać. Gdy już zaczniesz, używaj pulpitu nawigacyjnego Microsoft Secure Score, by śledzić postępy. Dostarcza on listę zalecanych działań i pokazuje, jak każde z nich poprawia stan bezpieczeństwa. To jak lista zadań, która sama ustala priorytety. Jeśli nie wiesz, co masz lub od czego zacząć, skontaktuj się ze swoim dostawcą IT lub partnerem Microsoft. Microsoft przeprowadzą audyt licencji, pomogą skonfigurować zabezpieczenia i upewnią się, że niczego nie tracisz. Oto czym jest Microsoft Defender XDR. To nie jest pojedynczy produkt kupowany z półki. To raczej zintegrowana warstwa zabezpieczeń, która łączy obecną ochronę w jeden inteligentny system. Prawdziwa wartość płynie z tego, jak te składniki ze sobą współpracują. Komunikują się między sobą, automatyzują reakcję i skracają czas, w którym atakujący mogą wyrządzić szkody.

Zacznij od audytu licencji, a potem włącz podstawy. Masz już więcej ochrony niż Ci się wydaje. Dziękuję za uwagę. Jeśli to pomogło, udostępnij materiał komuś, kto próbuje zrozumieć zabezpieczenia Microsoft. Do zobaczenia następnym razem.