SOC, SIEM en MDR in gewone taal. Wat heeft uw organisatie echt nodig?

Wie zich verdiept in de beveiliging van zijn organisatie, krijgt al snel een rij afkortingen over zich heen: EDR, XDR, SIEM, SOC, MDR. Aanbieders gebruiken ze door elkaar, en dat maakt vergelijken lastig. Dit artikel legt uit wat ze betekenen, wat Microsoft al voor u doet en waar u een specialist voor nodig heeft.

Vier begrippen, één bedrijfspand

Vergelijk digitale beveiliging met de beveiliging van uw pand. Sensoren en een alarm melden dat er iets gebeurt. Camera's leggen vast wat er gebeurde. In een meldkamer beoordelen mensen of het echt is. En een beveiliger komt in actie.

Het belangrijkste inzicht: een SOC is een functie, geen product. Het zijn mensen en afspraken die meldingen beoordelen en opvolgen. Een SIEM is een van de hulpmiddelen die zo'n meldkamer kan gebruiken, maar niet de enige. Voor de meeste organisaties die op Microsoft 365 werken, is een SIEM in het begin niet nodig.

Waarom één aanvalsverhaal meer zegt dan vier meldingen

Een aanval bestaat zelden uit één stap. Een phishingmail leidt tot een gestolen wachtwoord, daarmee logt de aanvaller in en vervolgens gebeurt er iets op een laptop. Met losse beveiligingsproducten krijgt u vier meldingen uit vier systemen, en iemand moet die zelf aan elkaar knopen. Defender XDR doet dat automatisch.

Dat scheelt meer dan tijd. Omdat Microsoft het hele verhaal ziet, kan het bij voldoende zekerheid ook zelf ingrijpen: het account wordt ingedamd en de laptop geïsoleerd, binnen minuten. Daarna is er een mens nodig die bepaalt hoe ernstig het is en wat er hersteld moet worden.

Wat doet de techniek, en wat doet de mens?

Goede beveiligingsanalisten zijn schaars en duur. Een traditionele meldkamer groeit mee met het aantal meldingen: meer meldingen, meer mensen. Wij draaien dat om. De techniek doet het routinewerk, onze specialisten het denkwerk.

Voor u betekent dat drie dingen. Bekende aanvallen worden sneller ingedamd, ook 's nachts. U betaalt niet voor analisten die meldingen wegklikken. En onze specialist heeft tijd voor wat telt: uw situatie, het herstel en het advies. Nieuwe mogelijkheden van Microsoft, zoals AI-assistenten voor beveiliging, bouwen we in zodra ze voor uw licentie beschikbaar zijn. Dat is een ambitie, geen belofte.

Hoe lang kunt u terugkijken?

Om nu in te grijpen ziet Defender genoeg. Voor onderzoek achteraf telt iets anders: hoe lang de gegevens bewaard blijven.

Wordt een incident pas na twee maanden ontdekt, dan ziet u de melding nog wel, maar de details zijn weg: welke processen er draaiden en waar vandaan werd ingelogd. Daarvoor is extra logbewaring nodig. Dat kan gericht, alleen voor de belangrijkste gegevens, zonder een volledige SIEM.

Wanneer heeft u wel een SIEM nodig?

Beide varianten hieronder zijn een volwaardige meldkamerfunctie op dezelfde Microsoft-basis. De SIEM-laag met Microsoft Sentinel voegt bronnen buiten Microsoft toe, geautomatiseerde playbooks en een langere historie.

Wat heeft u nodig om te beginnen?

De basis is Microsoft 365 Business Premium met de Defender Suite, een uitbreiding van € 8,70 per gebruiker per maand (Microsoft-lijstprijs bij een jaarabonnement, exclusief btw). Business Premium alleen is niet genoeg: de bescherming van identiteiten en cloud-apps en de uitgebreide detectie op apparaten en e-mail zitten in de Defender Suite. Werkt u met Microsoft 365 E5, dan heeft u het al.

Daarbovenop is er iemand nodig die kijkt en ingrijpt. Dat is onze Managed Detection & Response: dag en nacht automatisch ingedamd, op werkdagen beoordeeld en hersteld door een vaste specialist, naast uw huidige IT-partner. Benieuwd hoe dat er bij u uitziet? Plan twintig minuten met Martijn of Remy.

← Alle artikelen