Компании часто не до конца понимают, за что именно они платят при покупке подписки на кибербезопасность. Это просто «антивирус» или дополнительные функции, такие как многофакторная аутентификация (MFA), шифрование или… нечто под названием Inspect, действительно стоят первоначальных вложений? И чем глубже погружаешься, тем более чуждым становится жаргон кибербезопасности, ведь каждый вендор привносит собственное видение стандартной терминологии.
Эта проблема также зафиксирована в исследовании ESET SMB MDR Research 2026: только 33% знают термин MDR, 31% знают термин EDR и 29% знают термин XDR. Тем не менее, за каждым термином стоят реальные результаты безопасности, которые часто остаются в тени сложной терминологии, и хотя клиенты могут понимать, чего они хотят, они не знают, как это приобрести.
Чтобы разобраться в этом, обозреватель по вопросам безопасности Бен Тюдор побеседовал с аналитиком по мониторингу безопасности ESET Мицуюки Сото, чтобы объяснить, как MDR превращает телеметрию в контекст, почему человеческий опыт по-прежнему важен и что получают клиенты, когда у них есть опытные защитники, готовые прийти на помощь 24/7.
БТ: Не могли бы вы немного рассказать о той работе, которую вы выполняете для ESET, и о вашей роли в североамериканской команде?
МС: Я управляю командой служб безопасности в Северной Америке, курируя несколько различных уровней аналитиков мониторинга безопасности — от начинающих до более опытных экспертов. Наша команда специализируется на предоставлении услуг безопасности. Клиенты варьируются от тех, кто осуществляет мониторинг самостоятельно с помощью нашего решения с поддержкой XDR — ESET Inspect, до тех, кому требуется поддержка по запросу, когда наша команда занимается мониторингом проактивно; это ESET MDR Ultimate.
Я помогаю команде тем, что по сути направляю их, подсказываю верное решение в сложных инцидентах. Иногда я подключаюсь напрямую, предлагая более глубокий анализ и расследование. А также, знаете, помогаю строить команду и поддерживать ее всеми доступными мне способами.
Как долго вы этим занимаетесь?
Я управляю командой чуть менее трех лет. До того как стать руководителем, я проработал в команде служб безопасности в качестве тимлида чуть меньше трех лет.
Что изменилось с точки зрения услуг, предоставляемых ESET, и опыта, который получили клиенты за это время? Наблюдается ли четкое стремление к таким решениям, как MDR, или путь к желаемому результату оказывается более тернистым?
Очевидно, что продукты и процессы претерпели изменения. Раньше мы в основном фокусировались на детектировании. Теперь, когда все строится на основе инцидентов, расследования внутри Inspect позволяют нам действовать более комплексно и предметно.
Так что ситуация постоянно улучшается не только для клиентов, которые получают гораздо более четкое представление о ситуации, но и для нас.
Если говорить об MDR, безопасности конечных точек или EDR, действительно ли это нужно организациям? В чем золотая середина, когда клиенты действительно видят огромную пользу от перехода на сервис?
Я считаю, что абсолютно всем организациям необходим тот или иной вариант MDR. Дело в том, что, как и в случае с защитой конечных точек, это помогает обнаруживать любые вредоносные файлы. Но атаки могут исходить и через внешне безобидные исполняемые файлы от злоумышленников, пытающихся использовать легитимные инструменты (Living off the Land), и именно здесь на помощь приходит MDR, помогая выявлять такие аномалии в поведении. Разницу [за кулисами сервиса] делают именно эксперты.
Что это означает для клиента? Какой результат они получают при переходе от EDR к MDR?
Результат становится гораздо более целенаправленным. Это позволяет им экономить время и сосредоточиться на том, что более важно для их [повседневного] бизнеса. Когда в их инфраструктуре подтверждается реальная угроза (true positive), к процессу подключается клиент.
Вместо того чтобы просеивать шум, проводить расследования самостоятельно или нанимать и обучать штатного эксперта по безопасности, клиенты могут переложить эту ответственность на MDR. Им нужно вмешиваться только тогда, когда происходит нечто значимое и требуется их участие в реагировании на инцидент.
В разговорах с аналитиками MDR часто всплывает тема огромного количества шума и объема данных, с которыми приходится разбираться многим командам безопасности. Верно ли это, и если да, то как вы справляетесь с этой проблемой?
MDR определенно помогает снизить этот уровень шума: клиенты знают, что если возникнет реальная проблема, они узнают о ней, но им больше не нужно самостоятельно просеивать этот шум в поисках полезных сигналов. В то же время MDR часто воспринимается как инструмент экономии времени именно потому, что при качественной работе сервиса клиент может почти ничего не слышать. Он может заметить ценность только задним числом, когда узнает, что потенциальные атаки были расследованы, локализованы или остановлены до того, как переросли в инциденты.
Но как тогда доказать ценность MDR в те более спокойные месяцы, когда ничего не происходит, потому что сервис сработал так, как задумывалось? Есть ли какая-то конкретная деятельность или процесс отчетности, помогающие продемонстрировать эту пользу в «мирное время»?
Что касается демонстрации ценности MDR, иногда это может быть немного сложно, если ничего особенного не происходит. Но, знаете, то же самое можно сказать и о покупке автомобильной страховки. Она у вас есть на случай неприятностей, и именно тогда вы можете оценить ее реальную пользу.
Некоторые из способов, которыми мы помогаем донести ценность MDR — это регулярное общение с клиентами, учет их опасений и постоянное присутствие в качестве экспертов и, прежде всего, людей, к которым они могут обратиться.
В следующей части (часть вторая): мистер Сото перенесет нас от тихой защиты к активному реагированию, рассказав о том, что происходит, когда аналитики MDR переходят от мониторинга сигналов к расследованию реальных инцидентов, поддержке клиентов и превращению потенциальной бреши в более понятный путь к устранению угроз.
В следующей части (часть вторая): мистер Сото перенесет нас от тихой защиты к активному реагированию, рассказав о том, что происходит, когда аналитики MDR переходят от мониторинга сигналов к расследованию реальных инцидентов, поддержке клиентов и превращению потенциальной бреши в более понятный путь к устранению угроз.
Дополнительные источники:[1] Исследование ESET SMB MDR Research 2026 (размер выборки n=2700 респондентов). ВНИМАНИЕ: Сводные показатели рассчитываются на основе целых процентов, отображаемых в наших диаграммах; итоговые значения могут незначительно отличаться от расчетов на основе округленных исходных данных.
