Вітаємо у черговому випуску Microsoft Knowledge Nuggets на M365FM. Я Мірко Пітерс, і сьогодні ми розбираємо Microsoft Defenda XDR. Уявіть собі, ви за робочим столом у вівторок вранці. Телефон вібрує, сповіщення безпеки. Це справжня загроза чи просто шум? Потім ще одне сповіщення про підозвілий лист, ще одне про дивний вхід із невідомого місця. Чи пов'язані вони між собою? Можливо, а можливо й ні. Це проблема, з якою стикається більшість бізнесів сьогодні. Сьогодні ми розглянемо, що насправді таке Defenda XDR, чому Microsoft його створила і чому це важливо для будь-якої організації, що використовує Microsoft 365. Ось у чому особливість сучасних атак. Зловмисники не атакують лише щось одне. Вони діють швидко. Пошта, пристрої, облікові записи – вони атакують усе. Ваші інструменти безпеки мають не відставати. Ми розберемо 5 компонентів Defenda XDR і покажемо, як вони об'єднуються в єдиний рівень захисту.

Але спочатку варто поговорити про проблему, яку він вирішує. Проблема – це ізольованість систем безпеки. 20-ть років тому безпека була простою. Викупували антивірус для ПК, спам-фільтр для пошти, бранд-мавуер для мережі. Кожен інструмент виконував одне завдання, і вони не взаємодіяли. Тоді це було нормально, бо і атаки були простішими. Але погляньте, що відбувається сьогодні. Зловмисник надсилає фішинговий лист. Хтось натискає на посилання. Шкідливе ПЗ потрапляє на пристрій. Вірус викрадає пароль. Тепер зловмисник отримує доступ до ваших хмарних додатків, сховищ файлів, даних клієнтів. Це єдиний ланцюг подій. Але ваші інструменти бачать 5 окремих проблем. Фільтр пошти бачить повідомлення. Антивірус бачить файл. Система ідентифікації бачить вхід у систему. Жоден із них не знає, що вони бачать одну й ту саму атаку. Уявіть будівлю з трьома охоронцями. Один на вході, один на парковці, один у поштовій кімнаті.

Вони ніколи не обмінюються інформацією. Злодій заходить через вхід, а охоронець пошти навіть не здогадується про це. Так працює більшість інструментів безпеки сьогодні. Вони в одній будівлі, але не розмовляють одне з одним. Результат. Ваша команда отримує 5 сповіщень замість цілісної картини. Вони витрачають час на боротьбу з хибними спрацюваннями. Справжня загроза ховається в шумі. Поки хтось з'єднує всі крапки, зловмисник уже переміг. Вам потрібна система, що бачить усі домени і каже, ці сповіщення пов'язані. Ось повна картина. Ось що треба зробити. Саме для цього і створено Microsoft Defenda XDR. Що таке Defenda XDR? Це парасолька. Отже, давайте визначимо, що це насправді таке. Microsoft Defenda XDR – це так звана платформа розширеного виявлення та реагування. Це звучить досить складно, я розумію, але основна ідея дуже проста. Ця система отримує сигнали з усієї екосистеми Microsoft 365 з ваших кінцевих точок, електронної пошти, облікових записів користувачів, хмарних додатків і об'єднує їх в один цілісний вигляд.

XDR розшифровується як розширене виявлення та реагування. І найважливіше слово тут – розширене, тому що тепер йдеться не лише про комп'ютери. Це охоплює електронну пошту, ідентифікаційні дані, хмарні програми та багато іншого. Різниця така ж, як між переглядом однієї камери відеоспостереження та спостереженням за всіма камерами в будівлі з одного екрана. Ви отримуєте повну картину замість лише її маленької частини. Ось те, що дивує більшість людей. DaFenda XDR – це не якийсь абсолютно новий продукт, який потрібно купувати окремо. Це швидше уніфікуючий рівень, який розміщується поверх інструментів безпеки, якими ви, можливо, вже володієте. Сприймайте це як командний центр, про який я згадував раніше. Окремі продукти DaFenda – DaFenda for Endpoint, DaFenda for Office 365, DaFenda for Identity, DaFenda for Cloud Depth та інструменти керування вразливостями – це ніби камери спостереження в різних кімнатах.

DaFenda XDR – це оператор, що сидить перед головним екраном і пов'язує все це воєдино. Отже, що саме він робить? Він автоматично збирає сповіщення від усіх цих окремих модулів DaFenda. Потім він групує пов'язані сповіщення в те, що називається інцидентом. Тож замість 10 окремих сигналів тривоги, які можуть бути пов'язані, ви отримуєте один інцидент, що розкриває всю історію. Електронний лист, з якого почалася атака, заражений пристрій, скомпрометований обліковий запис – усе в одному місці просто перед вами. І цей момент багатьох застає зненацька. Ви не купуєте DaFenda XDR як окрему позицію в рахунку. Він входить до складу Microsoft 365 і 5, а також є частиною доповнення і 5 сап'юриті. Якщо у вас є Microsoft 365 Business Premium або і 3 з певними доповненнями, ви, можливо, вже маєте доступ до деяких його можливостей, навіть не підозрюючи про це. Ми поговоримо про ліцензування пізніше, але головний висновок простий.

Якщо ви вже платите за Microsoft 365, ви, ймовірно, набагато ближче до отримання цього захисту, ніж думаєте. 5 компонентів Давайте розберемо 5 частин, з яких складається система, тому що DaFenda XDR звучить абстрактно, поки ви не зрозумієте, що саме в нього надходить. По-перше, DaFenda Fendpoint. Він захищає пристрої Windows, Mac, Linux і навіть мобільні телефони. Це сучасна версія антивірусу, але він виходить далеко за ці межі. Замість простого сканування на наявність відомих шкідливих файлів, він відстежує підозрілу поведінку. Якщо програма починає поводитися дивно, шифрувати файли, підключатися до невідомих серверів або змінювати системні налаштування, DaFenda Fendpoint позначає її. Він може автоматично провести розслідування і, якщо потрібно, повністю ізолювати цей пристрій від мережі. Один клік, і ця машина відрізана від усього. Далі йде DaFenda для Office 365. Він захищає вашу електронну пошту та інструменти для спільної роботи.

Це засіб, що блокує фішингові листи, шкідливі вкладення та небезпечні посилання ще до того, як вони потраплять у папку «Вхідні», а також сканує повідомлення Teams, файли SharePoint і сховище Onedrive на наявність загроз. Тож, якщо хтось поділиться небезпечним файлом у командному чаті, він це виявить. Далі, DaFenda для ідентифікації. Він стежить за вашою інфраструктурою ідентифікації. Якщо у вас є локальний Active Directory, система, що керує обліковими записами та паролями в офісі, DaFenda для ідентифікації контролює її на предмет підозрілої активності. Він виявляє крадіжку облікових даних, коли зловмисник викрадає пароль і намагається використати його в іншому місці. Він помічає горизонтальне переміщення, коли хтось перестрибує з одного облікового запису на інший і позначає підвищення привілеїв, коли звичайний користувач раптово намагається отримати права адміністратора. Це саме ті методи, які використовують зловмисники, коли вже потрапили у вашу мережу.

Четвертий компонент – DaFenda для хмарних додатків. Він дає змогу бачити всі хмарні програми, які використовують ваші співробітники, як схвалені вами, так і ні. Він виявляє тіньові ІТ-сервіси, на які ваша команда підписалася безвідома ІТ-відділу. Він виявляє незвичну поведінку, наприклад, завантаження тисяч файлів у другій годині ночі і може блокувати ризиковані додатки або контролювати, які дані через них поширюються. Останнє – управління вразливостями. Це вбудована функція DaFenda for Endpoint, але вона заслуговує на окрему згадку.

Тож, замість того, щоб вгадувати, які оновлення найважливіші, він точно вказує, які вразливості найбільш, імовірно, будуть використані. А тепер головний висновок. Кожен із цих продуктів існував окремо, поки не з'явився DaFenda XDR. Майкрософт створювала їх окремо протягом багатьох років, а потім хтось поставив розумне запитання. А що, якби вони всі працювали разом? Саме це забезпечує DaFenda XDR. Це той клей, який перетворює п'ять хороших продуктів на одну потужну систему. Як вони працюють разом? Дозвольте показати вам реальний сценарій, щоб ви побачили, як це працює на практиці. Один із ваших співробітників отримує фішинговий лист. Здається, ніби він від керівника з проханням переглянути документ. DaFenda для Office 365 може не позначити його як загрозу, оскільки посилання виглядає легітимним. Отже, співробітник натискає на посилання, вводить пароль на сторінці, що виглядає як справжня сторінка входу Майкрософт, і зловмисник отримує його облікові дані.

За лічені хвилини DaFenda for Identity виявляє, що цей самий користувач входить у систему з країни, де він ніколи не був. Тим часом DaFenda for Endpoint фіксує підозвілий процес на ноутбуці, що намагається з'єднатися із зовнішнім сервером. А тепер подумайте, що станеться без XDR. Ви отримуєте три окремі сповіщення. Одне від системи безпеки електронної пошти, одне від моніторингу ідентифікаційних даних і одне від захисту кінцевих точок. Кожне в окремій консолі з окремим входом. Ваша команда безпеки вручну намагається з'ясувати, чи пов'язані вони між собою. У будь-якому разі зловмисник продовжує проникати глибше у вашу мережу, поки вони шукають. З DaFenda XDR увесь цей процес стає автоматичним. Платформа з'єднує всі крапки. Вона розпізнає, що електронний лист, дивний вхід у систему та незвичний процес є частинами одного ланцюжка атаки. Вона створює єдиний інцидент із хронологією подій. Ви відкриваєте його і бачите повну картину.

Вхід у систему, активність пристрою, усе викладено в хронологічному порядку. І вона не просто повідомляє, що сталося. DaFenda XDR також може діяти. Залежно від ваших налаштувань, він може автоматично ізолювати скомпрометований пристрій від мережі, скинути пароль користувача або заблокувати входи з підозрілого місця. Усе це за лічені хвилини, без потреби відкривати тікет чи комусь телефонувати. Уявіть це як команду фахівців. Пожежник, парамедик, поліцейський – усі звітують одному координатору. Координатор вислуховує кожного, бачить загальну картину та вживає відповідних заходів, перш ніж хтось інший навіть зрозуміє, що сталася проблема. Це не про зручність. Це про швидкість. Зловмисники можуть переховуватися в мережі днями, перш ніж хтось це помітить. З XDR цей час скорочується до годин або навіть хвилин. А в питаннях безпеки час – це те, що неможливо повернути. Що саме це дає вам? Отже, що все це означає для вашого бізнесу?

Давайте розглянемо на реальному прикладі. По-перше, менше сповіщень, які потрібно перевіряти. Коли Defenda XDR групує пов'язані сповіщення в інциденти, ваша команда не бачить сотні окремих сигналів щодня. Вони отримують, можливо, 10 чітких історій, кожна з яких містить контекст, докази та рекомендовані наступні кроки. Вони працюють над реальними загрозами, замість того, щоб ганятися за привидами. Далі – швидші розслідування. У вікні інциденту ви бачите всю атаку як хронологію подій. Ви можете натиснути на будь-який елемент, пристрій, обліковий запис, користувача чи електронний лист, щоб отримати більше деталей, не виходячи з екрана. Усе необхідне прямо перед вами. Жодних перемикань між консолями, жодного копіювання та вставки. І, мабуть, найголовніша перевага – це автоматизоване очищення. Якщо загроза очевидна, Defenda XDR самостійно бере на себе її усунення. Він видаляє шкідливий лист із поштових скринюк, усуває інфікований файл із пристрою і навіть скасовує зміни в реєстрі, зроблені зловмисником.

Уявіть це як систему безпеки, що сама себе очищує. Вам не потрібно відправляти когось із ганчіркою, система сама подбає про безлад. Далі – проактивний підхід. Тут проявляється управління вразливостями. Замість простого реагування, Defenda XDR допомагає запобігати атакам. Він постійно сканує ваші пристрої на наявність відсутніх оновлень, слабких паролів та неправильних налаштувань. Ви отримуєте пріоритетний список того, що потрібно виправити першочергово, залежно від того, які вразливості найімовірніше будуть використані. Жодних з догадок – лише чіткий план дій. І ось те, що багато хто пропускає повз увагу. Defenda XDR працює на різних платформах не лише на Windows. Він також охоплює Mac, Linux, iOS та Android. Якщо у вашому бізнесі використовується суміш пристроїв, ви все одно під захистом. Ось реальний випадок. Ми працювали з партнером, який забезпечував безпеку середньої компанії. До впровадження XDR час реагування на інциденти в середньому становив близько 4 годин.

Після запуску та налаштування правил автоматичного реагування цей час скоротився до 20 хвилин. Різниця була не у більшій команді чи кращому навчанні, а в тому, що система з'єднала всі факти докупи. Отже, таким є практичний вплив. Менше сповіщень, швидші розслідування, автоматичне очищення та проактивне запобігання. Справа не лише в кращих інструментах, а в тому, щоб вони працювали разом, дозволяючи команді зосередитися на найважливішому.

Головне ось, що справжня цінність не в будь-якому з них окремо, а в тому, як вони інтегровані. Коли Defendafa Endpoint бачить завантаження файлу, Defendafa Identity фіксує зміну пароля з незвичного місця, а Defendafa Cloud Deps помічає вивантаження даних у персональне сховище. Окремо кожен із них – це лише точка даних, сигнал на панелі моніторингу. Але разом вони розповідають історію, і ця історія зрозуміла. Чийсь обліковий запис зламано, і дані залишають вашу організацію. Більшість людей вважають, що безпека – це купівля найкращого антивірусу чи найкращого поштового фільтра. Це те, чого нас вчила галузь протягом десятиліть. Але реальність така – безпека полягає не в одному продукті, а в поєднанні фактів про все, що відбувається у вашому середовищі. DefendaxDR автоматично поєднує ці факти, щоб вашій команді не доводилося збирати все докупи вручну. Тут є ефект мультиплікатора, який легко пропустити.

Коли один компонент Defenda виявляє щось нове, ця інформація передається всім іншим. Дозвольте навести конкретний приклад. Припустімо, Defenda for Endpoint виявив новий різновид шкідливого ПЕЗе на одному з ваших пристроїв. Ця інформація не просто залишається там. Defenda для Office 365 негайно починає сканувати вхідні листи на наявність цього шкідливого ПЕЗе, а Defenda для Identity відстежує ознаки крадіжки облікових даних. Виявлення в одному місці посилює захист усюди. Це рівень координації, якого просто неможливо досягти, купуючи окремі інструменти від різних постачальників. Вам знадобилася б окрема команда лише для підтримки працездатності цих інтеграцій. Ось чому Microsoft може конкурувати з такими компаніями, як CrowdStrike та Palo Alto у сфері XDR. Не тому, що якийсь окремий компонент Defenda значно кращий за аналог конкурентів, а тому, що інтеграція в Microsoft 365 є нативною. Вона вбудована безпосередньо в платформу.

Інші постачальники також можуть інтегрувати свої продукти, але це ніколи не буде так бешевно, як коли все походить від однієї компанії та використовує одну модель даних. Тож, хто отримує від цього найбільшу вигоду? Якщо ваш бізнес використовує Microsoft 365, частина цієї інфраструктури у вас уже є. Перехід на І5 або додавання надбудови безпеки І5 відкриває повний досвід роботи з Defenda XDR. Для меншого бізнесу Microsoft 365 Business Premium надає надійний набір цих можливостей. Сенс у тому, що вам, можливо, не потрібно купувати цілий новий стек безпеки. Можливо, вам просто потрібно ввімкнути те, що у вас уже є. Висновки, що вам слід зробити. Підсумуємо це трьома конкретними кроками, які можна зробити вже сьогодні. Крок перший – перевірте свої ліцензії. Це найпростіше, що ви можете зробити. Перейдіть до Центру адміністрування Microsoft 365, перегляньте свої підписки та дізнайтеся, за що ви платите.

Чи є у вас і 5, і 3 з надбудовою безпеки або бізнес преміум. Це покаже, до яких можливостей Defenda у вас уже є доступ, і ви можете здивуватися тому, що входить до комплекту. Крок другий – якщо у вас є відповідна ліцензія, увімкніть Defenda XDR. Він не завжди ввімкнений за замовчуванням. Перейдіть на security.microsoft.com, знайдіть розділ налаштувань і ввімкніть уніфіковану роботу з інцидентами. У документації Microsoft сказано, що це займає близько 10 хвилин. Вам не потрібно налаштовувати все одразу. Просте ввімкнення механізму кореляції одразу забезпечує кращу видимість. Крок третій – почніть з найпростішого. Розгорніть Defenda Find Point на всіх своїх пристроях, якщо ви ще цього не зробили. Якщо ви використовуєте Intune, це дуже просто. Увімкніть попередньо встановлені політики безпеки Defenda для Office 365. Існує стандартна та сувора політика, і будь-яка з них блокує більшість поширених погроз через електронну пошту відразу після активації.

Потім загляньте на інформаційну панель управління вразливостями. Вона покаже вам найкритичніші вразливості та підкаже, що саме потрібно виправити першочергово. Одне застереження – не намагайтеся зробити все й одразу. Кожен компонент додає захисту, але також додає складності. Почніть з чогось одного, опануйте його роботу, а потім додавайте інше. Спроба увімкнути все в перший же день – це шлях до розчарування. Якщо ви зробите лише одну річ, нехай це будуть стандартні політики Defenda для Office 365. Електронна пошта залишається головним способом проникнення зловмисників в організації. Блокування цих загроз на рівні шлюзу – це найефективніший крок, який ви можете зробити. А коли ви розпочнете, використовуйте інформаційну панель Microsoft SecureSco для відстеження прогресу. Вона надає список рекомендованих дій і показує, як кожна з них покращує вашу безпеку. Це як список справ, який впорядковується автоматично.

Якщо ви не впевнені, що маєте або з чого почати, зверніться до свого ІТ-провайдера чи партнера Microsoft. Вони можуть перевірити ваші ліцензії, допомогти налаштувати захист і переконатися, що ви нічого не втрачаєте. Отже, ось що таке Microsoft Defenda XDR. Це не один продукт, який можна купити готовим. Це єдиний рівень безпеки, що об'єднує ваші наявні засоби захисту в одну інтелектуальну систему. Справжня цінність полягає в тому, як ці компоненти працюють разом. Вони взаємодіють, автоматизують реакції та скорочують час, який зловмисники мають для завдання шкоди. Почніть з аудиту ліцензій, а потім увімкніть основні функції. Ви вже маєте більше захисту, ніж думаєте. Дякую за увагу! Якщо це допомогло, поділіться з тими, хто намагається розібратися в безпеці Microsoft. До зустрічі!