Добро пожаловать в очередной выпуск Microsoft Knowledge на Гетас на М365FM. Я Мирко Питерс, и сегодня мы разбираемся с Microsoft Defender XDR. Представьте себе, вы за рабочим столом во вторник утром. Звенит телефон, оповещение о безопасности. Это правда или просто шум? Затем еще одно оповещение о подозрительном письме. Еще одно о странном входе из необычного места. Связаны ли они? Возможно, да. Возможно, нет. Это проблема, с которой сегодня сталкивается большинство компаний. Сегодня мы рассмотрим, что такое Defender XDR, зачем Microsoft создала его, и почему он важен для любой организации, использующей Microsoft 365. Вот в чем особенность современных атак. Злоумышленники атакуют не только что-то одно. Они действуют быстро. Электронная почта, устройство, учетные записи – они бьют по всему. Ваши инструменты безопасности должны не отставать. Мы разберем пять компонентов, составляющих Defender XDR, и покажем, как они объединяются в единый уровень безопасности.

Но сначала нам нужно поговорить о проблеме, которую он решает. Проблема – разрозненность средств защиты. 20 лет назад безопасность была простой. Вы покупали антивирус для ПК, спам-фильтр для почты, брандмауер для сети. Каждый инструмент выполнял одну задачу, и они никогда не взаимодействовали. Тогда это было нормально, потому что и атаки были проще. Но вот что происходит сегодня. Злоумышленник рассылает фишинговое письмо. Кто-то переходит по ссылке. Вредоносное попопадает на устройство. Вирус крадет пароль. Теперь злоумышленник проникает в ваши облачные приложения, хранилище файлов и данные клиентов. Это единая цепочка событий. Но ваши инструменты видят это как пять отдельных проблем. Почтовый фильтр видит сообщение. Антивирус видит файл. Система идентификации видит вход в систему. Никто из них не знает, что они наблюдают за одной и той же атакой. Представьте здание с тремя охранниками. Один на входе, один на парковке, один в почтовом отделении.

Они никогда не обмениваются информацией. Вор входит через парадную дверь, а охранник в почтовом отделении понятия не имеет, что он идет. Так сегодня работает большинство инструментов безопасности. Они находятся в одном здании, но не общаются. В итоге ваша команда получает пять оповещений вместо одной истории. Они тратят время на ложные срабатывания. Реальная угроза скрывается в этом шуме. К тому времени, как кто-то сопоставит факты, злоумышленник уже победит. Вам действительно нужна система, которая видит все домены и говорит, эти оповещения связаны. Вот полная картина. Вот что нужно сделать. Именно для этого и был создан Microsoft Defender XDR. Что такое Defender XDR? Это зонтичное решение. Итак, давайте определим, что же это такое на самом деле. Microsoft Defender XDR — это так называемая платформа расширенного обнаружения и реагирования. Звучит сложно, я понимаю, но сама суть предельно проста.

Эта система собирает сигналы со всей среды Microsoft 365 с ваших конечных точек электронной почты, учетных записей пользователей и облачных приложений, объединяя их в единую картину. XDR расшифровывается как «расширенное обнаружение и реагирование», и самое важное слово здесь — «расширенное», потому что речь идет уже не только о компьютерах. Система охватывает электронную почту, идентификационные данные, облачные приложения и многое другое. Разница такая же, как между просмотром одной камеры видеонаблюдения и наблюдением за всеми камерами здания с одного экрана. Вы получаете полную картину, а не крошечный ее фрагмент. И вот что удивляет большинство людей. Defender XDR — это не какой-то совершенно новый продукт, который нужно покупать отдельно. Это скорее объединяющий уровень, который надстраивается поверх инструментов безопасности, которые у вас, возможно, уже есть. Представьте его как командный центр, о котором я упоминал ранее.

Отдельные продукты Defender — Defender для конечных точек, Defender для Office 365, Defender для идентификации, Defender для облачных приложений и инструменты управления уязвимостями — это словно камеры, следящие за разными комнатами. Defender XDR — это оператор, сидящий за главным экраном и связывающий воедино все данные. Так что же он делает на самом деле? Он автоматически собирает оповещения от всех этих отдельных компонентов Defender. Затем он группирует связанные оповещения в так называемый инцидент. Вместо 10 отдельных сигналов тревоги, которые могут быть связаны друг с другом, вы получаете один инцидент, рассказывающий всю историю целиком. Электронное письмо, с которого началась атака, зараженное устройство, скомпрометированная учетная запись — все в одном месте прямо перед вами. И вот этот момент застает людей врасплох. Вы не покупаете Defender XDR как отдельную позицию в счете. Он включен в состав Microsoft 365 E5, а также является частью дополнения безопасности E5.

Если у вас есть Microsoft 365 Business Premium или E3 секунды определенными дополнениями, возможно, у вас уже есть доступ к некоторым его функциям, даже если вы этого не осознаете. Мы еще поговорим о лицензировании позже, но главный вывод прост. Если вы уже платите за Microsoft 365, то, возможно, вы гораздо ближе к получению этой защиты, чем думаете. Пять компонентов. Давайте разберем пять частей, из которых состоит эта система, потому что Defender XDR кажется чем-то абстрактным, пока не поймешь, что именно в него поступает. Первый — Defender для конечных точек. Он защищает устройства Windows, Mac, Linux и даже мобильные телефоны. Это современная версия антивируса, но она идет гораздо дальше. Вместо простого поиска известных вредоносных файлов, система очлеживает подозрительное поведение. Если программа начинает вести себя странно, шифрует файлы, подключается к неизвестным серверам или меняет настройки системы, Defender for InPoint помечает ее как угрозу.

Он может провести автоматическое расследование и, при необходимости, полностью изолировать устройство от сети. Один клик — и компьютер полностью отрезан от всего. Далее идет Defender for Office 365. Он защищает вашу электронную почту и инструменты для совместной работы. Он блокирует фишинговые письма, вредоносные вложения и небезопасные ссылки еще до того, как они попадут в папку «Входящие», а также сканирует сообщения в Teams, файлы в SharePoint и хранилище OneDrive на наличие угроз. Так что, если кто-то отправит опасный файл в командный чат, система это обнаружит. Затем у нас есть Defender for Identity. Он следит за вашей инфраструктурой и управлением идентификацией. Если у вас есть локальный актив-директорий, система, управляющая учетными записями и паролями в офисе, Defender for Identity очлеживает в ней подозрительную активность. Он выявляет кражу учетных данных, когда злоумышленник похищает пароль и пытается использовать его где-то еще.

Он замечает горизонтальное перемещение, когда кто-то переключается между аккаунтами и фиксирует повышение привилегий, если обычный пользователь внезапно пытается получить права администратора. Именно такие приемы используют хакеры, как только проникают в вашу сеть. Четвертый компонент – Defender for Cloud Apps. Он дает вам наглядное представление обо всех облачных приложениях, которые используют ваши сотрудники, как одобренных вами, так и нет. Он обнаруживает теневые IT-ресурсы, то есть сервисы, на которые ваша команда подписалась без вашего ведома. Он распознает необычное поведение, например, когда пользователь скачивает тысячи файлов в 2 часа ночи и может заблокировать рискованные приложения или ограничить обмен данными через них. Последний компонент – управление уязвимостями. Он встроен в Defender for Endpoint, но заслуживает отдельного упоминания. Система постоянно сканирует ваши устройства на наличие отсутствующих обновлений безопасности, слабых конфигураций и других брешей.

Затем она предоставляет вам приоритетный список того, что нужно исправить в первую очередь. Вместо того, чтобы гадать, какие обновления важнее, система точно указывает, какие уязвимости вероятнее всего будут использованы для атаки. А теперь самое главное. Каждый из этих продуктов существовал по отдельности, прежде чем появился Defender XDR. Microsoft создавала их разрозненно на протяжении многих лет, а потом кто-то задал правильный вопрос. Что, если они будут работать вместе? Именно это обеспечивает Defender XDR. Это связующее звено, которое превращает пять хороших продуктов в единую мощную систему. Как они работают вместе? Позвольте мне разобрать реальный сценарий, чтобы вы увидели, как это происходит на практике. Один из ваших сотрудников получает фишинговое письмо. Оно выглядит как сообщение от руководителя с просьбой проверить документ. Defender for Office 365 может его не пометить, поскольку ссылка кажется вполне легитимной.

Итак, сотрудник переходит по ссылке, вводит пароль на странице, которая выглядит как настоящая страница входа Microsoft, и злоумышленник получает его учетные данные. Через несколько минут Defender for Identity фиксирует, что тот же пользователь входит в систему из страны, которую он никогда не посещал. В это же время Defender for Endpoint обнаруживает на ноутбуке подозрительный процесс, пытающийся подключиться к внешнему серверу. Теперь представьте, что происходит без XDR. Вы получаете три отдельных оповещения. Одно от системы защиты электронной почты, другой от мониторинга учетных записей, третий от защиты конечных точек. Каждая в отдельной консоли с отдельным входом. Ваша команда безопасности вручную пытается выяснить, связаны ли они между собой. В любом случае, пока они ищут, злоумышленник проникает все глубже в вашу сеть. С Defender XDR весь этот процесс автоматизирован. Платформа соединяет все точки.

Она распознает, что электронное письмо, странный вход в систему и необычный процесс — это части одной цепочки атаки. Она создает единый инцидент с хронологией событий. Вы открываете его и видите всю картину целиком. Вход в систему, активность на устройстве — все выстроено в нужном порядке. И она не просто сообщает вам, что произошло. Defender XDR также может принимать меры. В зависимости от ваших настроек, он может автоматически изолировать скомпрометированные устройства от сети, сбросить пароль пользователя или заблокировать входы из подозрительного места. Все это за считанные минуты, без необходимости создавать тикеты или кому-то звонить. Представьте себе команду специалистов. Пожарный, фельдшер, полицейский — все они подчиняются одному координатору. Координатор выслушивает каждого, замечает закономерность и принимает нужные меры еще до того, как кто-то другой осознает проблему. Дело не только в удобстве.

Дело в скорости. Злоумышленники могут скрываться в сети днями, прежде чем их заметят. С XDR это окно сокращается до часов или даже минут. А в безопасности время — это то, что невозможно вернуть. Что это дает вам на практике? Итак, что все это значит для вашего бизнеса? Давайте перейдем к конкретике. Во-первых, меньше оповещений, требующих проверки. Когда Defender XDR объединяет связанные оповещения в инциденты, ваша команда не видит сотни отдельных сигналов тревоги каждый день. Они получают около 10 понятных историй, каждая с контекстом, доказательствами и рекомендациями по дальнейшим действиям. Они работают с реальными угрозами, они гоняются за призраками. Во-вторых, более быстрое расследование. В представлении инцидента вы видите всю атаку как временную шкалу. Нажмите на любой элемент, устройство, учетную запись пользователя или письмо, и получите больше деталей, не покидая экрана. Все необходимое уже у вас перед глазами.

Никаких переключений между консолями, никакого копирования и вставки. И, пожалуй, самое главное преимущество — автоматизированное устранение последствий. Если угроза очевидна, Defender XDR устраняет ее самостоятельно. Он удаляет вредоносные письма из всех почтовых ящиков, стирает зараженные файлы с устройств и даже отменяет изменения в реестре, внесенные злоумышленникам. Представьте это как самоочищающуюся систему безопасности. Вам не нужно отправлять кого-то с тряпкой, система сама справляется с беспорядком. Далее — проактивность. Именно здесь на высоте управления уязвимостями. Вместо того, чтобы просто реагировать, Defender XDR помогает предотвращать атаки. Он непрерывно сканирует ваше устройство на наличие отсутствующих обновлений, слабых паролей и ошибок конфигурации. Вы получаете приоритетный список того, что нужно исправить в первую очередь, исходя из вероятности использования уязвимостей.

Больше никаких догадок, только четкий план действий. И вот кое-что, что многие упускают из виду. Defender XDR работает на разных платформах, а не только в Windows. Он также охватывает Mac, Linux, iOS и Android. Если в вашем бизнесе используется парк разных устройств, вы все равно под защитой. Вот реальный случай. Мы работали с партнером, который обеспечивал безопасность для компании среднего размера. До внедрения XDR время реагирования на инциденты составляло в среднем около 4 часов. После его активации и настройки правил автоматического реагирования оно сократилось примерно до 20 минут. Разница была не в расширении команды или лучшем обучении, а в том, что система сама сопоставила факты за них. Таков практический результат. Меньше оповещений, быстрее расследование, автоматическая очистка и проактивная защита. Дело не просто в наличии лучших инструментов, а в инструментах, которые работают вместе, чтобы ваша команда могла сосредоточиться на главном.

Связь – в этом настоящая сила интеграции. Мы рассмотрели пять компонентов, но суть в том, что реальная ценность не в каждом из них по отдельности, а в их интеграции. Когда Defender for InPoint видит скачивание файла, Defender for Identity фиксирует смену пароля из необычного места, а Defender for Cloud Apps замечает загрузку данных в личное облачное хранилище. По отдельности, это лишь точки данных, мелкие сигналы на панели мониторинга. Но вместе они рассказывают историю, и эта история предельно ясна. Учетная запись скомпрометирована, и данные утекают из вашей организации. Многие считают, что безопасность – это покупка лучшего антивируса или лучшего фильтра почты. Этому индустрия учила нас десятилетиями. Но реальность такова, безопасность – это не один конкретный продукт, а объединение данных обо всем, что происходит в вашей среде. Defender XDR связывает эти факты автоматически, поэтому вашей команде не приходится собирать все вручную.

Здесь есть мультипликативный эффект, который легко упустить из виду. Когда один компонент Defender обнаруживает что-то новое, эта информация передается всем остальным. Позвольте привести конкретный пример. Допустим, Defender для конечных точек обнаруживает новый тип вредоносного пана на одном из ваших устройств. Эта информация не остается без внимания. Defender для Office 365 немедленно начинает сканирование входящей почты на наличие этого вредоносного па, а Defender для удостоверений очлеживает признаки кражи учетных данных. Обнаружение угрозы в одном месте усиливает защиту по всей системе. Такого уровня координации невозможно добиться, просто покупая отдельные инструменты у разных поставщиков. Вам потребовалась бы отдельная команда только для поддержания работы этих интеграций. Вот почему Microsoft может конкурировать с такими компаниями, как CrowdStrike и Palo Alto в сфере XDR. Не потому, что какой-то отдельный компонент Defender значительно лучше аналогов конкурентов, а потому, что интеграция в Microsoft 365 является встроенной.

Она встроена непосредственно в платформу. Другие поставщики тоже могут интегрировать свои продукты, но это никогда не будет так эффективно, как когда все исходит от одной компании и использует общую модель данных. Итак, кто получает от этого наибольшую выгоду? Если ваш бизнес использует Microsoft 365, часть этой инфраструктуры у вас уже есть. Переход на план E5 или добавление надстройки безопасности E5 открывает полный доступ к возможностям Defender XDR. Для малого бизнеса план Microsoft 365 Business Premium предоставляет внушительный набор этих возможностей. Суть в том, что вам, возможно, не нужно покупать совершенно новый степь безопасности. Возможно, вам нужно просто включить-то, что у вас уже есть. Основные выводы. Что вам следует сделать? Давайте подытожим тремя конкретными шагами, которые можно предпринять уже сегодня. Шаг первый. Проверьте свои лицензии. Это самое простое, что можно сделать.

Зайдите в центр администрирования Microsoft 365, посмотрите свои подписки и узнайте, за что вы платите. Есть ли у вас E5, E3 секунды надстройкой безопасности или бизнес-премиум? Это покажет, каким возможностям Defender у вас уже есть доступ, и вы можете удивиться тому, что в них включено. Шаг второй. Если у вас есть подходящая лицензия, включите Defender XDR. Он не всегда включен по умолчанию. Перейдите на сайт security.microsoft.com, найдите раздел настроек и включите единый интерфейс работы с инцидентами. Согласно документации Microsoft, это занимает около 10 минут. Вам не нужно настраивать все сразу. Просто включение механизма корреляции сразу даст вам лучший обзор ситуации. Шаг третий. Начните с самого простого и доступного. Разверните Defender для конечных точек на всех ваших устройствах, если вы еще этого не сделали. Если вы используете InChun, это сделать очень просто. Включите предустановленные политики безопасности Defender для Office 365.

Существует стандартная и строгая политика, и любая из них блокирует большинство распространенных угроз по электронной почте сразу после включения. Затем загляните на панель управления уязвимостями. Она покажет вам самые критические риски и точно скажет, что нужно исправить в первую очередь. Одно предупреждение. Не пытайтесь сделать все сразу. Каждый компонент усиливает защиту, но и добавляет сложности. Начните с одного элемента, разберитесь, как он работает, а затем добавляйте следующий. Попытка включить все сразу в первый же день приведет лишь к разочарованию. Если вы можете сделать только что-то одно, выберите предустановленные политики Defender для Office 365. Электронная почта остается основным способом проникновения злоумышленников в организации. Блокировка угроз на уровне шлюза – это самый эффективный шаг, который вы можете предпринять. А когда все заработает, используйте панель управления Microsoft Secure для отслеживания прогресса.

Она предоставляет список рекомендуемых действий и показывает, как каждая из них улучшает уровень вашей защиты. Это как список дел, который сортирует себя сам. Если не уверены, что у вас есть или с чего начать, обратитесь к своему IT-провайдеру или партнеру Microsoft. Они проведут аудит лицензий, помогут настроить защиту и убедятся, что вы используете все возможности. Итак, вот что такое Microsoft Defender XDR. Это не отдельный продукт, который можно купить в готовом виде. Это единый уровень безопасности, который объединяет ваши существующие инструменты в интеллектуальную систему. Настоящая ценность заключается в том, как эти компоненты работают вместе. Они обмениваются данными, автоматизируют реагирование и сокращают время, доступное злоумышленникам для нанесения ущерба. Начните с аудита лицензий, а затем включите базовые функции. У вас уже есть больше защиты, чем вы думаете. Спасибо за внимание.

Если это было полезно, поделитесь с тем, кто пытается разобраться в безопасности Microsoft. До встречи!