Кросс-доменная корреляция
Сигналы EDR, DLP, NGFW, Threat Intel и SIEM по одному хосту в окне 15 минут.
XDRмодуль SOC-платформы Пабион
XDR Пабион: одна атака — один инцидент
Атака редко выглядит как одно событие: подозрительный процесс, обращение к известному C2-серверу, попытка вынести файл. XDR видит, что эти сигналы из разных модулей относятся к одному компьютеру, и собирает их в один инцидент с полной хронологией.
Первый компьютер под защитой — бесплатно. XDR входит в Pabion вместе с остальными модулями.
Возможности
Что умеет XDR в Пабион
Порог доменов
Инцидент создаётся, когда в цепочке минимум два разных модуля — например EDR + DLP или NGFW + Threat Intel.
Автоизоляция
Для критичных цепочек политика может сразу изолировать хост, не дожидаясь аналитика.
Хронология
В карточке инцидента — все связанные события и алерты по времени, с указанием модуля.
- 1Срабатывает правило SIEM или детекция модуля.
- 2XDR поднимает соседние события того же хоста за последние 15 минут.
- 3Если в них есть сигналы минимум двух доменов — создаётся инцидент XDR со списком доменов.
- 4По политике выполняется автоизоляция и запускаются плейбуки SOAR.
- 5Аналитик ведёт инцидент до закрытия: open → investigating → contained → resolved.
Сценарии
Что это значит на практике
Заражение + утечка
На ACC-PC-03 запущен вредоносный процесс, а через минуту агент DLP ловит отправку файлов — это один инцидент, а не два несвязанных алерта.
C2 и сканирование
Обращение к IP из фида Feodo Tracker и сканирование портов с того же хоста объединяются в цепочку lateral movement.
Меньше шума
Вместо десятков разрозненных алертов аналитик разбирает несколько осмысленных инцидентов.
Вопросы
Частые вопросы о XDR
Чем XDR отличается от SIEM?+
SIEM находит отдельные подозрительные события по правилам. XDR связывает срабатывания разных модулей по одному хосту в общую картину атаки.
Можно ли настроить окно и порог?+
Да, окно корреляции и минимальное число модулей задаются в политике XDR организации.
Обязательна ли автоизоляция?+
Нет, она включается политикой. По умолчанию решение об изоляции принимает аналитик.
Платформа
XDR работает вместе с другими модулями Пабион
Подключите XDR Пабион
Регистрация за пару минут, первый компьютер — бесплатно. Все модули работают с одного агента.