TDIR框架的演变和分类

网络安全是被动和主动方法的混合体。过去，企业往往局限于被动的方法。随着合规性和安全策略越来越突出，主动方法也受到关注。与其他行业相比，网络安全是高度动态的，网络安全团队采用任何可以帮助他们优化的新技术。

其中一个主要原因是攻击者不断更新他们的策略，网络攻击也在不断发展。为了跟上攻击者的步伐并检测复杂的网络威胁，安全团队需要拥有最新的技术。

由于威胁检测和响应仍然是企业组织的重中之重，因此了解 TDIR 框架至关重要。本文讨论了 TDIR 框架的演变，属于 TDIR 范围的不同概念及其独特特征。

TDIR的演变

威胁检测和事件响应 （TDIR） 一直是安全团队的首要任务。传统上，日志聚合器和日志管理工具广泛用于检测安全威胁。但是，随着处理的数据量的增加和威胁的演变，旧的解决方案不再能够引入、分析、保留和搜索日志数据。此外，随着云的广泛采用，企业的IT基础架构发生了巨大变化，因此需要全面的安全解决方案来检测和防御攻击。

这种演变促使企业开发内部解决方案以满足其独特的安全要求。但是，内部解决方案是高度资源密集型的，并且在威胁检测和修复方面有其自身的局限性。

随着时间的推移，这开辟了新的市场空间，TDIR解决方案开始出现。目前，TDIR有不同的形状和规模，企业可以从市场上可用的一系列不同形式的TDIR解决方案中进行选择。

EDR、XDR 和 NDR在哪里发挥作用？

企业的威胁检测和缓解机制因企业所在的行业以及企业的规模和地位而异。例如，小型金融机构可能不需要复杂的网络防御机制。但是，对于银行来说，情况并非如此。

安全团队需要根据自己的要求采用适合其企业的正确技术。目前，有几种不同的威胁检测和响应工具。以下是它们的介绍以及几种工具的不同之处。

端点检测和响应

端点检测和响应 （EDR） 解决方案可帮助企业监控其端点免受网络威胁。与传统的威胁检测系统相比，EDR 解决方案更侧重于识别和缓解威胁，例如勒索软件、零日漏洞、恶意软件和专门针对端点解决方案的主动攻击。由于网络威胁不断演变，企业采用远程工作（员工在任何地方工作，通常是在 BYOD 设置中），EDR 解决方案在网络空间中越来越突出。

扩展检测和响应

大多数企业使用不同的工具来检测和响应其网络中的威胁。但是，管理多个解决方案可能会很麻烦，并可能导致忽略某些重要警报。这就是扩展检测和响应 （XDR） 解决方案发挥作用的地方。XDR 解决方案被认为是一站式解决方案，通过聚合来自企业中使用的不同安全工具的威胁数据，帮助企业检测和响应整个网络中的威胁。这些解决方案通过提供威胁数据的集中视图和自动化响应机制，使威胁检测和响应更加容易。

网络检测和响应

据Gartner称，网络检测和响应（NDR）产品通过将行为分析应用于网络流量数据来检测异常系统行为。NDR 解决方案持续监视网络通信量并确定是否存在任何持续威胁。此外，这些解决方案使用非基于签名的技术来检测异常网络活动。与用户实体和行为分析 （UEBA） 解决方案的作用类似，NDR 解决方案可识别与以前派生的基线的行为偏差。

上述所有解决方案都属于TDIR类别的范围。现在出现了一个更大的问题——安全信息和事件管理（SIEM） 在所有这些中处于什么位置？

SIEM将坚守其堡垒

虽然 EDR、XDR 和 NDR 都在不断发展，但 SIEM 仍将在企业的网络安全策略中发挥重要作用。这是因为SIEM的范围。虽然 TDIR 解决方案有助于分析数据以进行威胁检测和响应，但它们可能无法收集和分析不同网络中的所有事件。此外，SIEM 的安全分析功能（关联、分析）对于企业进行威胁调查和取证分析至关重要。

此外，与TDIR解决方案相比，SIEM解决方案是高度可定制的，这意味着企业可以优化解决方案，使其满足企业的特定安全要求。就像UEBA一样，任何TDIR解决方案都需要SIEM解决方案的支持才能以最佳水平运行。如果没有 SIEM 解决方案，就很难连续监控网络中发生的事件和事件。

将 TDIR 解决方案与 SIEM 解决方案集成有助于改进企业的威胁检测、调查和响应机制。更重要的是，云SIEM增长快速，可以帮助监控和保护混合网络。

总结

虽然威胁检测和缓解仍将是企业的首要任务，但日志管理和安全分析必须是其安全策略的基础。对网络的持续监控帮助企业了解其当前的安全状况，以便对其系统进行必要的调整以满足不断变化的安全要求。为此，拥有一个灵活且可定制的解决方案非常重要。

有了 SIEM 解决方案，可以轻松实现这一点。在 SIEM 之上，如果部署了 TDIR 解决方案，则会提高安全性。虽然TDIR解决方案是可以的，但SIEM解决方案对于任何想要保持网络领先地位的企业来说都是必备的。