Как XDR пересекается и в чем отличается от SIEM и SOAR

Руслан Рахметов, Security Vision

Архитектура современного SOC-центра строится на трех классах решений: SIEM (Security Information and Event Management) для управления информацией и событиями безопасности, SOAR (Security Orchestration, Automation, and Response) для оркестрации, автоматизации и реагирования и XDR (eXtended Detection and Response) для расширенного обнаружения и реагирования. Но пока эти технологии эволюционируют, их функции пересекаются, а в некоторых случаях они становятся взаимозаменяемыми. Поэтому мы решили рассказать про эти классы решений и то, как они связаны. Для начала рассмотрим, как эти классы решений появились и как работают. Затем поговорим про отличия подходов, в центре которых находятся агенты и сеть, а также незаменимость каждого из продуктов. В финале обсудим интеграцию систем и то, как добиться синергии в защите данных и инфраструктуры в целом.

Оглавление

Триада видимости SOC

XDR или SOAR

Уникальные отличия: в чем незаменим каждый инструмент

Синергия SIEM, SOAR и EDR/XDR

От архива логов к агентивному интеллекту

Системы SIEM являются старейшим ядром любого центра мониторинга информационной безопасности, и появились они раньше своих коллег в этом обзоре. Поэтому для начала расскажем, как возникли системы для реагирования (на базе оркестратора или на базе конечных точек). Для понимания этой эволюции к платформе XDR, необходимо вспомнить «триаду видимости SOC», введенную аналитиками Gartner. Эксперты осознали, что одного только сбора логов в SIEM недостаточно для выявления сложных атак, так как злоумышленники научились скрывать свои действия от журналов аудита. Потребовались одновременно логи (SIEM), мониторинг конечных точек (EDR) и глубокий анализ сетевого трафика (NDR).

EDR (Endpoint Detection and Response) устанавливается непосредственно на конечные устройства (ноутбуки сотрудников, корпоративные серверы) в виде агентов. Такие легкие программы глубоко интегрируется в операционную систему и собирают детальную телеметрию о каждом запущенном процессе, изменениях в реестре, внедрении кода в оперативную память и создании новых файлов. В отличие от старого антивируса, EDR выявляет бестелесные атаки и аномальное поведение легитимных программ. EDR можно сравнить с личным телохранителем, приставленным к каждому важному руководителю корпорации. Телохранитель не следит за улицами города, его единственная задача — неотступно следовать за своим подопечным (сервером), проверять каждого, кто к нему подходит, и в случае опасности мгновенно укрыть босса за бронированной дверью (изолировать хост от сети).

NDR (Network Detection and Response) появились аналогично, только строились они на базе централизованного анализа сетевого трафика. Это как дорожная полиция на высокоскоростных магистралях, соединяющих разные города (серверы). Дорожной полиции не важно, что происходит внутри каждого отдельного дома в городе (это работа EDR), она следит за потоком машин на трассе. И если по трассе несется бронированный фургон без номеров, полиция перехватывает этот фургон на ходу.

После формирования «триады видимости» возникла необходимость расширенного реагирования на угрозы, и это реагирование (буква R в аббревиатуре с префиксом «расширенный») усиливалось.

- С одной стороны, поскольку SIEM генерирует тысячи оповещений (алертов) в день, аналитики начали страдать и, чтобы аналитики не выгорали, на сцене кибербезопасности появился SOAR. Эта система не ищет угрозы сама, а берет сигнал от SIEM и запускает плейбук, автоматический сценарий реагирования.

- С другой стороны, к 2020-м годам стало ясно, что связка SIEM+SOAR требует инженеров для настройки парсеров данных и написания скриптов. На сцену вышел XDR. Эта платформа «из коробки» объединяет глубокую телеметрию (сеть, конечные точки, облако, почта), сама анализирует ее с помощью машинного обучения и имеет встроенные механизмы мгновенного реагирования на местах.

Так появились системы XDR, фокусирующиеся на агентах, и SOAR, которые занимали более центральное место в SOC, отвечали за общую оркестрацию и автоматизацию.

Обе системы сосредоточены на реагировании и могут быть взаимозаменяемыми, но SOAR стоит усиливать интеграцией с EDR (или дополнительным модулем на базе общей платформы, как у Security Vision), а XDR не хватает плейбуков и общей оркестрации, т.е. его нужно тесно интегрировать с десятками имеющихся систем.

Несмотря на тренд взаимозаменяемости, в зрелых корпоративных инфраструктурах каждому инструменту отводится своя уникальная и неповторимая роль. Разница кроется в расстановке акцентов:

а) SIEM (фокус на данных) способен годами хранить петабайты логов от систем для прохождения государственных аудитов и расследования атак пятилетней давности. Но требует ручной настройки парсеров для каждого типа логов и создает огромное количество «белого шума» из ложноположительных (False Positives) сработок.

б) XDR (фокус на аналитике) использует вендорские ML-модели для поиска сложных атак без необходимости месяцами писать и поддерживать тысячи кастомных правил парсинга. Но он ограничен определенными источниками данных (чаще всего экосистемой одного вендора) и не предназначен для многолетнего хранения журналов.

в) SOAR (фокус на процессах) выходит за рамки безопасности. Только SOAR может по API завести тикет в Jira, отправить СМС юристам, заморозить аккаунт в HR-базе и координировать действия десятков разных отделов. Но классический SOAR сам по себе ничего не видит и не обнаруживает. Если подать на вход SOAR мусорные алерты, он просто автоматизирует непонятные процессы, поэтому ему на вход всегда нужно что-то «скармливать».

В 2026 году эти технологии не являются взаимоисключающими; напротив, они формируют многослойный эшелонированный щит.

На практике их совместная работа выглядит как модель «Hub-and-Spoke» (центр и спицы):

1) EDR/XDR находится на передовой. Он выступает в роли «острого зрения» и системы быстрых безусловных рефлексов. Платформа собирает высокоточную телеметрию, автоматически выявляет угрозы с помощью машинного обучения и мгновенно блокирует до 80% типовых и сложных атак на лету (например, изолирует зараженный ноутбук от сети).

2) После локализации угрозы XDR отправляет очищенный, высокоточный инцидент в SIEM. В SIEM этот инцидент сопоставляется с глобальными данными, которые XDR не видит (например, логи физических турникетов (СКУД) в здании или транзакции ERP-системы). SIEM также архивирует все следы атаки для соответствия законам.

3) Если требуется сложная, многоступенчатая реакция, выходящая за пределы ИТ-инфраструктуры (например, создание тикета в Jira, блокировка пользователя в Active Directory, отправка официального отчета юридическому отделу и SMS ИТ-директору), SIEM передает задачу в SOAR. SOAR запускает плейбук, который дирижирует всем процессом устранения последствий.

Развитие систем защиты центра мониторинга – это история борьбы с возрастающим объемом данных и нехваткой времени. Эволюция шла ступенчато, отвечая на новые вызовы киберпреступников.

Так в эпоху сбора данных в центре SOC были SIEM-системы, глаза и память инфраструктуры. Словно сложная сеть видеокамер, выводящая потоки на пульт охранника, система подсвечивает грабителя красным квадратом (алерт). Но камеры не умеют сами надевать наручники.

Эпоха глубокого контекста принесла нам XDR, единый разум на базе агентов. В то время как патрульный видит лишь взломанный замок, наш Шерлок сопоставляет глину на ковре с ботинком вора, странный лай собаки и расписание поездов, выстраивая единую картину и тут же задерживая преступника, если может до него дотянуться.

А в эпоху автоматизации развился SOAR, мышцы и рефлексы периметра компании. Он получает сигналы от сети и агентов, запуская процессы и вызывая полицию, оцепляющую район, включает громкую сигнализацию и вызывает защитников компании, формируя отчёты и собирая под своим «зонтиком» все ИТ- и ИБ-системы.

Эта синергия создает неуязвимый цифровой щит, способный не только отразить изощренные кибератаки сегодняшнего дня, но и автономно адаптироваться к угрозам завтрашнего, чего мы желаем всем компаниям и читателям этой статьи.