什么是托管检测和响应 (MDR)？

MDR 提供商通常提供一系列服务和功能，旨在提供全面的威胁检测、监控和响应能力。其中包括：

持续监控：MDR 服务持续监控组织的网络、端点和云环境，以发现潜在威胁。这包括实时监控，以识别任何可疑活动或异常情况。

全天候支持：MDR 服务通常提供全天候监控和支持，确保无论何时发生威胁都能得到及时处理。这包括配备一支专门的安全专家团队，他们可以根据需要提供指导和帮助。

主动威胁搜寻：MDR 服务可通过使用人工威胁搜寻工具来识别可逃避自动检测系统的隐蔽威胁和躲避威胁并发出警报，从而主动搜索组织的网络和系统是否存在持续攻击的迹象。

威胁检测： MDR 服务利用机器学习、行为分析和威胁情报等 先进技术，检测并识别潜在的安全威胁。这有助于识别已知和未知的威胁，包括恶意软件、勒索软件、网络钓鱼尝试、 数据泄露 和内部威胁。

端点检测和响应 (EDR)：许多 MDR 服务都包含 EDR 功能，允许在端点级别进行详细的监控和响应。这 有助于检测和缓解针对组织网络内单个设备的威胁。

事件响应：MDR 服务提供快速响应，以减轻和遏制检测到的威胁。此事件管理可能包括隔离受影响的系统、删除恶意软件以及实施补丁或其他安全措施，以防止进一步损害并确保适当的缓解。

事件调查和警报分类：MDR 提供商使用数据分析、机器学习和人工调查来调查警报，以确定有效性。他们根据优先级组织安全事件，识别危害指标并尽量减少误报造成的干扰，从而确保关键事件立即得到关注。提供商提供指导性响应，并提供有关遏制和补救特定威胁的可行建议，从而最大限度地减少中断和损害。

托管修复：MDR 解决方案提供托管修复功能，从而可在出现安全事件后将端点恢复到某一已知的良好状态。此操作的具体内容为：迅速删除恶意软件、清理注册表并消除持久化机制，从而最大限度地减少中断并防止进一步入侵。

资源扩充和专业知识：MDR 服务可提供安全专家咨询服务和最佳操作实践，以便确保在威胁搜寻、取证调查和事件响应等关键领域提供持续的保障和专业知识，从而改善安全态势和弹性。

MDR 提供多项优点，可显著增强组织的网络安全态势，其中包括：

高级威胁识别：MDR 提供商使用主动威胁搜寻来检测复杂威胁，包括传统措施经常忽略的高级持续威胁 (APT)。通过使用先进的技术和汇集的威胁情报，MDR 服务可以缩短检测和响应时间，快速解决隐藏的威胁并最大限度地减少损害。

有效的人才管理：网络安全行业面临严重的人才短缺问题，这使得组织很难在内部填补关键的安全职位，而且成本高昂。通过 MDR 可以获取外部安全专业人员，填补人员缺口，并提供事件响应和恶意软件分析等领域的专业知识，从而无需寻找稀缺人才即可提供强大的安全解决方案。

增强安全专业知识：MDR 服务配备经验丰富的网络安全专业人员，他们可以分析威胁、提供切实可行的洞察分析并对事件做出响应。这种获取专业知识的途径可以提高组织应对复杂安全挑战和改进战略的能力。

更快、更高效的响应：MDR 服务可通过使用先进技术和专家分析来快速识别并减轻威胁，从而可加快检测和应对高级威胁的时间，并缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

提高成本效益：将威胁检测和响应外包给 MDR 提供商，可以帮助组织避免与构建和维护内部安全运营中心 (SOC) 相关的高昂成本。MDR 提供先进的安全功能，且无需承担内部开发这些资源的巨大财务负担。

改进安全状况：对安全数据和过往事件进行持续分析有助于组织从以前的攻击中吸取教训，加强防御。这种持续改进可以提高预防和应对未来威胁的能力，同时优化安全配置并消除恶意系统。

综合合规支持：MDR 可确保稳健的安全控制措施落实到位并有效运行，从而帮助企业满足合规要求。该支持对于法规严格的行业至关重要，且可提供必要的文档并降低遭遇处罚的风险。

高枕无忧：知道有专门的专家团队持续监控和保护资产，可以让企业领导者高枕无忧。MDR 服务使他们能够专注于核心业务活动，并确信自己的网络安全需求得到有效管理。

快速实现安全成熟度：MDR 使组织能够快速部署全面的安全计划，进行全天候监控，并由提供商的客户群分摊成本。这可以降低总拥有成本 (TCO)，并帮助组织比尝试内部开发更快地实现高水平的网络安全成熟度。

减少 警报疲劳： MDR 可帮助管理和优先处理安全警报，减轻内部团队的负担。持续的监控和详细的威胁分析可增强决策能力和抵御攻击的能力，防止安全团队发出误报或低优先级警报。 

驾驭 网络安全和威胁态势可能具有挑战性，尤其是在区分各种解决方案时。以下是托管检测和响应 (MDR) 与其他关键网络安全产品的比较：

MDR 与 EDR（端点检测和响应）：  MDR 和 EDR 都侧重于威胁检测和响应，但范围和方法不同。EDR 是一款以端点保护为中心的软件工具，可监控和响应单个设备上的威胁。

MDR 是一项通常会进行外包的服务，它可提供更广泛的 24x7 全天候保障，其中涵盖端点、网络和云环境。MDR 整合了针对分析和响应的人类专业知识，而 EDR 则更依赖自动化机制。MDR 服务可使用 EDR 技术来增强端点安全与威胁检测功能。

MDR 与 XDR（扩展检测和响应）：与 EDR 一样，XDR 是一种网络安全工具，而不是服务。XDR 集成来自各种来源（例如端点、网络和云环境）的安全遥测，为威胁检测和响应提供统一、简化的方法。相比之下，MDR 是一项跨多个域提供全面、全天候监控、检测和响应的服务。MDR 通常采用 XDR（和 EDR）技术来增强功能。

MDR 与 MXDR（托管 扩展检测和响应）： MDR 和 MXDR 都提供扩展检测和响应功能 ，但服务交付有所不同。MXDR 是完全托管的解决方案，除技术堆栈之外，还提供持续监控和支持。MDR 通常侧重于技术和专业知识，而没有全面的管理。

MDR 与 MSSP（托管安全服务提供商）：MDR 和 MSSP 均为托管安全服务，而 MDR 则特别关注威胁检测和响应。MSSP 主要可提供警报、安全管理和监控功能，而响应措施则由客户负责。MDR 结合了被动（持续监控）与主动活动，其中包括由人类专家执行的实时威胁搜寻。

虽然 MSSP 是高度自动化的，但 MDR 提供全面的警报分类、调查和修复服务。组织通常依靠 MSSP 来管理边界安全措施，例如防火墙和网络访问控制。MDR 将其功能扩展到 IT 基础架构 所有层的端点保护和事件响应。

MDR 与托管 SIEM（安全信息和事件管理）：MDR 和托管 SIEM 均旨在增强安全性，但所用方法各有不同。MDR 可将先进的威胁检测与人类专业知识相结合，从而实现实时响应。托管 SIEM 则严重依赖日志与事件分析来识别安全事件。MDR 可提供主动威胁搜寻，而托管 SIEM 则侧重于事件数据分析。

供应商 MDR 对比 MSSP  MDR ：供应商  MDR 服务建立在专有技术之上，提供来自单一供应商的产品和服务的完整解决方案。相比之下，MSSP MDR 服务涵盖更广泛的托管服务，包括多供应商技术和专业服务。虽然供应商 MDR 对其技术有着深入的了解，但 MSSP MDR 则提供更广泛的产品和行业特定的专业知识