随着数字化转型的飞速发展，企业面临的安全威胁日益严峻。但是，目前许多企业仍在沿用传统孤岛式的安全能力建设模式，这种模式缺乏对全局安全数据的可见性，导致面对海量告警，安全产品自动化程度不高，安全人员也难以提高工作效率。
在此背景下，XDR（Extended Detection And Response：扩展检测响应）成为了网络安全领域的新兴之秀。据了解，XDR最早由Palo Alto Networks于2018年提出，在2020年被Gartner命名为第一大安全趋势，同时Gartner称XDR解决方案将提高检测准确性、安全运营效率和生产率。
近日，腾讯安全联合权威机构Gartner在全球发布了XDR白皮书——《XDR，威胁检测与响应的利器》。腾讯安全副总裁方斌在寄语中表示：XDR可以汇聚跨产品、跨层级的全局安全数据，利用机器学习等技术提升对全局数据的关联和分析能力，有效帮助企业走出安全孤岛。
而腾讯依托自身成熟的云上安全能力，率先在国内拓展云上XDR方案，并对私有化场景进行赋能。针对公有云环境和传统IT环境，形成两套相对独立的方案，应对不同应用场景需要。
安全威胁日益严峻，XDR成检测与响应利器
当前，传统安全系统面临着更加隐蔽、更加智能、更具破坏性的新一代网络攻击。尤其在威胁检测方面，企业面临的安全挑战越来越大，高级威胁的发现越来越难以通过单一的安全能力来实现，海量告警、孤岛式安全能力建设的缺陷、现有安全产品自动化能力不高、企业被动的安全防御策略等现实困境，使得企业急需寻找一种新的信息安全防护措施，加固云上安全防线。
XDR作为可演进式集成安全架构，结合了安全信息和事件管理（SIEM）、安全编排自动化和响应（SOAR）、端点检测与响应（EDR）以及网络流量分析（NTA），集中安全数据和事件响应，是云上安全防护的有效利器。面对不断加速的数字化转型和纷繁复杂的网络攻击，XDR可促进威胁防御、检测、响应等安全功能之间的协同和互操作，帮助企业提升威胁检测和响应的效率和效果。
XDR的模型架构
据白皮书介绍，XDR拥有五大核心能力和六大显著优势。首先，XDR支持对终端、网络、云和工作负载的安全防护并具备控制能力，此外，还拥有安全集成和互操作能力、大数据处理和机器学习分析能力、自动化编排能力、威胁情报能力。XDR的优势体现在可演进式集成安全架构，更快、更深度的威胁发现，一处检测、全局响应，提升安全运营效率，支持混合基础设施和优化企业安全支出成本。
Opportunity Snapshot的研究显示，71%的安全负责人表示，他们的团队需要访问威胁情报、安全运营数据、事件响应和漏洞数据，而64%的企业无法跨职能共享威胁情报数据。XDR面向实际的网络攻击防护需要，有效提升威胁检测的及时性，并快速收敛已发现安全事件所造成的影响，改变企业现有安全能力零散建设运维成本高、安全能力难以协同、单点产品利用不足等带来的安全支出成本居高不下的难题。
鉴于XDR技术的上述优势，国外厂商通过相互合作，积极探索XDR前进方向，目前网络安全界已成立了三大XDR“联盟”，分别由Crowd Strike领导，由Mimecast等供应商发起，以及由IBM参与。同时，思科、微软、Check Point等实力雄厚的大型厂商都在整合单个产品以构建XDR套件，加大投资研发力度。据Grand View Research研究显示，到2028年，XDR市场规模预计将达到20.6亿美元，2021-2028年的复合年增长率将达到19.9%。
中国XDR市场前景广阔，各大厂商积极探索
中国市场XDR发展前景亦十分广阔，据CIC最新发布的《网络安全威胁情报行业发展报告（2021年）》显示，当前我国威胁情报市场规模约为10.69亿元。另外，在11月，全球网络安全领导企业Palo Alto Networks和普华永道中国宣布扩大合作，以XDR等产品为依托，在中国市场提供安全运营服务。同时，以腾讯安全为首的威胁情报服务提供商纷纷入局XDR赛道。凡此种种，都标志着XDR在研发投入与创新动力方面将迎来一波高潮。
聚焦到中国市场，中小企业数量占据了中国企业总数的半壁江山，2020年底中小企业数量便已突破4200万家。研究机构Gartner发布的报告显示，2021年全球信息安全和风险管理技术与服务支出预计将达到1504亿美元。为了抵御攻击，企业机构将扩展和规范威胁检测和响应活动，由于没有足够的网络安全人才或技能来推出自己的集成架构，中型企业和小型企业对XDR有着强烈的需求。
XDR作为融合了“EDR+NDR+SOAR+威胁情报+安全中台+X”的一站式安全检测与响应平台，不论是传统IT环境，还是公有云、私有云、单云、多云、混合云架构，XDR都能够更快、更准确地检测网络攻击活动，并以开箱即用的自动化操作快速应对各类繁琐枯燥的安全任务，有效应对告警过载难题。
当前，各类产业主体都在积极围绕以XDR为代表的威胁情报技术及商业模式展开探索。在有科技产业界风向标之称的Hype Cycle（技术成熟度曲线）中，端点安全和安全运维都提及了XDR技术。此外，据ESG对339位企业安全专业人员的调查数据显示，58%的人认为XDR可以通过增强、改进、聚合当前的安全分析功能来实现SOC的现代化，55%的人认为XDR可以通过与SOAR集成来实现安全流程自动化。
XDR已获得市场发展的绝佳时机，安全技术厂商正抓住机会，聚焦企业需求痛点，探索XDR热门解决方案的发展方向。
腾讯率先拓展云上XDR方案，全面覆盖各类IT环境
腾讯安全作为XDR探索的重要厂商代表，拥有20余年网络攻防对战经验，一直以来都怀揣“做世界一流的威胁情报”的美好愿景，为用户构建更加稳固的数字时代安全底座。
据白皮书内容显示，基于PaaS层的安全算力算法支撑，腾讯XDR方案可面向云环境和私有化环境分别提供针对性方案，覆盖客户IT各类场景需要，同时其云原生方案集成度高、部署成本极低、SaaS化服务即申请即使用，还可凭借云上各种基础设施针对用户访问等场景进行威胁检测与分析，拥有包括云上成熟的大数据和机器学习能力、安全算力算法在内的诸多优势。
腾讯XDR解决方案
例如，在公有云上，腾讯安全云上成熟的API接口可为XDR平台提供较为便捷的响应能力，同时借助CWPP、WAF、IOA、SaaS等产品，还可针对混合云环境进行渗透，实现对混合云的集中威胁检测与响应；在私有化环境中，腾讯安全将IOA终端安全、NDR解决方案进行整合，兼顾环境特点的同时接入更多第三方设备告警与日志；针对云环境和传统IT环境并存的客户，腾讯安全通过SIEM实现对多套XDR平台结果的整合，满足客户合规和审计方面的需求。
Gartner联合腾讯安全XDR白皮书的发布，勾画了更为清晰的XDR发展历程，对于不满足于现有独岛式、分散安全能力现状，希望提升安全威胁应对整体能力，以及采用集成化、可演进式的安全体系建设的企业送来了“及时雨”，同时也为传统安全系统进化提供了新路径。
从发展理念上来看，白皮书构建了一个清晰的、基于XDR的发展愿景。随着数字化时代网络安全领域攻防对抗的不断升级，XDR汇聚跨产品、跨层级的全局安全数据，利用机器学习等技术提升对全局数据的关联和分析能力，提升高级威胁的发现能力和发现速度，有效解决当前孤岛式安全能力建设难题。
从技术手段上来看，白皮书提到的云原生是XDR实践的一个新方向。XDR厂商将考虑针对公有云提供针对性的安全方案，以更好的兼容混合云架构，同时以XDR集成一体化联防联控思想搭建的云原生安全体系，有效提升针对各类威胁的检测能力、响应效率，并通过SOAR提升响应自动化水平，降低MTTR。
从实践落地上来看，腾讯安全为云上XDR探索提供了参考模板。目前使用腾讯云上XDR方案的客户，可将公有云上失陷事件的MTTD时间减到分钟级。依靠云原生XDR方案和SIEM结合的方式，客户得以实现各类IT环境下的统一威胁运营，依托自身成熟的云上安全能力，腾讯率先在国内拓展云上XDR方案，并对私有化场景进行赋能。
我们看来，白皮书梳理了XDR演进与应用，有利于推动后续标准的共建。未来，平台SaaS化是必然选择，XDR会朝着技术更加成熟、产品集成能力和标准化程度更高、安全厂商间的合作更加紧密的趋势发展。XDR在继续聚焦事件响应的同时，会加强事件的背景和损害判断，行业内将逐步形成一些针对事件调查的通用方法与标准。
点击链接可进入Gartner官网下载完整版腾讯安全&Gartner联合发布的《XDR，威胁检测与响应的利器》白皮书
（https://www.gartner.com/technology/media-products/newsletters/Tencent/1-288EO9Z3/index.html）
评论