Azure XDR：它是什麼以及如何設定

防毒軟體會透過掃描檔案並封鎖已知威脅，保護個別裝置免受惡意軟體侵害。隨著攻擊變得更加進階，端點偵測與回應（EDR）工具作為新一代防禦應運而生，透過監控筆記型電腦和伺服器等端點上的可疑活動，提供更深入的可視性。然而，EDR 只專注於裝置，缺乏對網路、電子郵件或雲端服務的更廣泛視角。為了填補這個缺口，安全資訊與事件管理（SIEM）系統因此被開發出來，用於蒐集並分析整個組織中來自各種來源的資料。

SIEM 提供更全面的視角，但可能會以大量警示讓團隊不堪負荷，且缺乏可有效排序優先順序的情境脈絡。這促成了延伸式偵測與回應（XDR）的興起，它結合來自端點、網路及其他來源的資料，以採用統一的威脅偵測方法。Azure XDR 建立於 Microsoft 的安全工具之上，提供這種整合式保護，讓團隊能夠快速回應整個環境中的威脅。

什麼是 Azure XDR？

Azure XDR（延伸式偵測與回應）是 Microsoft 用於統一組織內安全性的解決方案。傳統工具如防毒軟體、EDR 和 SIEM 通常各自獨立運作，每個工具只專注於威脅的一部分。然而，Azure XDR 使用 Azure Sentinel、Azure Defender 和 Microsoft Threat Intelligence，整合來自許多來源的資料，例如端點、網路、電子郵件和雲端應用程式。因此，安全團隊可獲得即時且完整的視圖，從而更快偵測並回應威脅。

想像一下，某位使用者開啟了一封內含隱藏malware. 惡意軟體會迅速擴散，在網路中移動、提升權限並竊取資料。在傳統架構中，每個安全工具可能只能偵測到攻擊的一部分，卻無法共享資訊。這種缺乏協調的情況會延遲偵測並拖慢回應速度。同時，團隊還必須手動檢查來自不同工具的日誌，浪費時間。但有了 Azure XDR，所有內容都會整合到單一平台中。它會串聯各項線索、觸發自動化動作來遏制威脅，並立即通知團隊，從而縮短回應時間並限制損害。

Azure XDR 的核心元件

Azure XDR（延伸式偵測與回應）依賴三個關鍵元件：Azure Sentinel, Microsoft Defender for Cloud，以及 Microsoft Threat Intelligence。每個元件都扮演獨特角色，並共同打造出強大且統一的安全解決方案，以有效偵測、調查及回應威脅。

Azure Sentinel

Azure Sentinel 是 Azure XDR 的指揮中心。它是雲端原生的 SIEM（安全資訊與事件管理）以及 SOAR（安全協調自動化回應）解決方案。Sentinel 會從多個來源收集安全資料，例如端點、網路和雲端應用程式。它使用 AI 和機器學習來分析這些資料，並即時識別威脅。Sentinel 會將來自不同來源的警示關聯為單一、統一的事件，讓安全團隊能夠全面掌握攻擊情況。它也支援使用 playbook 進行自動化回應，可觸發隔離遭入侵系統或封鎖惡意 IP 等動作。透過 Azure Sentinel，您可以清楚且整合地檢視整個環境中的安全狀態，進而加快偵測與回應速度。

Microsoft Defender for Cloud

Microsoft Defender for Cloud 專注於保護雲端與內部部署資源。它會持續監控您的工作負載，例如虛擬機器、資料庫和容器，以偵測可疑活動、弱點與錯誤設定。當 Defender for Cloud 偵測到威脅時，會產生警示並將其傳送至 Azure Sentinel。接著，Sentinel 會將此警示與其他資料來源進行關聯分析，協助識別攻擊的完整範圍。Defender for Cloud 在 Azure XDR 中扮演關鍵角色，確保所有工作負載都受到保護，且不會遺漏任何威脅。它也會提供安全性建議以強化防禦，協助您領先因應潛在攻擊。

Microsoft Threat Intelligence

Microsoft Threat Intelligence 為 Azure XDR 提供有關新興威脅的最新資訊。它會持續從 Microsoft 龐大的全球感測器網路及外部來源蒐集資料，識別新的攻擊技術、惡意 IP 位址、網域及其他入侵指標。這些威脅情報會直接提供給 Azure Sentinel 和 Microsoft Defender for Cloud。

在 Azure Sentinel 中，此威脅情報可增強偵測規則，並微調系統以識別新的與持續演變的威脅。它透過加入情境脈絡來協助降低誤判，讓資安團隊能專注於真正的威脅。在 Microsoft Defender for Cloud 中，它會以詳細的威脅資訊豐富警示內容，讓資安團隊更容易了解每項威脅的性質與影響。透過讓整個 Azure XDR 系統持續更新至最新的威脅資料，Microsoft Threat Intelligence 可確保更快速且更準確的回應，並協助組織始終領先攻擊者一步。

它們如何在 Azure XDR 中協同運作

這些元件可無縫連接，提供完整的安全解決方案

• 資料整合與關聯分析： Defender for Cloud 會將警示傳送至 Sentinel，後者再將這些警示與其他資料來源結合，以提供完整的威脅視圖。
• 集中式管理： Sentinel 作為控制中心，所有警示與事件都在同一處進行管理。這可降低複雜性並提升可視性。
• 自動化回應： Sentinel 使用 playbook 來自動化對已偵測威脅的回應，加快遏制速度並減少手動作業。
• 持續學習： Microsoft Threat Intelligence 會持續以最新威脅資料更新 Sentinel 和 Defender for Cloud，讓偵測規則保持敏銳，並使回應維持有效。

Report

Leading the Way in Endpoint Security

See why SentinelOne has been named a Leader four years in a row in the Gartner® Magic Quadrant™ for Endpoint Protection Platforms.

Read Report

Azure XDR 的主要功能

Azure XDR 提供多項關鍵功能，使其成為強大的安全解決方案，詳述如下。

1. 自動化威脅偵測

Azure XDR 使用 AI 和機器學習即時分析來自各種來源的資料，例如端點、網路和雲端服務。它會持續從這些資料中學習，識別出顯示潛在威脅的模式，例如異常的登入嘗試或不正常的網路流量。透過使用行為分析，它能了解對使用者或系統而言何者屬於正常狀態，並偵測可能表示攻擊的偏差。這種自動化偵測可減少人工調查的需求，快速識別威脅，並根據嚴重性加以排序，從而更快且更有效率地回應事件。

2. 與 Microsoft 生態系的深度整合

Azure XDR 可與廣泛的 Microsoft 服務與產品無縫整合，包括 Microsoft 365、Microsoft Defender for Identity、Microsoft Defender for Endpoint、Azure Active Directory 等。這種深度整合可讓整個數位資產範圍獲得全面可視性，涵蓋從雲端到地端環境。其他 XDR solutions 可能無法針對如此廣泛的生產力、身分識別與安全工具套件提供相同程度的整合。

3. 機器學習與 AI 能力

Azure XDR 利用 Microsoft 先進的 AI 與機器學習模型來強化威脅偵測與回應。這些能力可透過從 Microsoft 全球網路中的大量資料學習，協助識別異常、偵測未知威脅，並減少誤判。這些 AI 模型的深度與成熟度是 Microsoft 所獨有，因為它們受益於 Microsoft 在 AI 研究與開發上的重大投資。

4. 跨多雲與混合環境的統一安全管理

Azure XDR 的建置旨在支援多雲與混合環境，能在 Azure、AWS、Google Cloud 及地端資源之間提供進階威脅偵測與回應能力。這種跨平台支援可確保無論資源位於何處，都能維持一致的安全管理；而許多其他 XDR 解決方案可能缺乏這項能力，尤其是那些更專注於單一雲端供應商的方案。

5. 透過 Playbook 實現進階自動化與協調流程

Azure Sentinel 作為 Azure XDR 的核心元件，透過 playbook 提供強大的自動化與協調流程功能。這些 playbook 由 Azure Logic Apps 提供支援，可將複雜的工作流程自動化，例如威脅緩解動作、通知安全團隊，或與第三方工具整合。此等級的自動化有助於縮短回應時間並減少人為錯誤，相較於某些其他 XDR 平台中的自動化功能更為進階。

6. 內建合規與治理工具

Azure XDR 包含內建合規工具，可協助組織滿足法規要求。Azure Policy、Azure Blueprints，以及 Azure Security Center 的法規遵循儀表板等功能，可依據產業標準進行持續監控與評估。相較於許多其他 XDR 解決方案，此內建合規能力更為全面，後者可能需要額外工具或整合，才能達到相同程度的法規遵循。

7. 可自訂的分析與儀表板

Azure XDR 提供高度可自訂的分析與儀表板，讓安全團隊能建立符合其特定需求的客製化檢視。Sentinel 的自訂活頁簿與搜尋查詢可讓組織以各種方式將資料視覺化，這可能比其他 XDR 解決方案提供的標準儀表板更具彈性。

8. 成本效益與可擴充性

對於已在使用 Microsoft 服務的組織而言，Azure XDR 可能更具成本效益，因為它可運用既有授權與基礎架構。它可隨 Azure 平台輕鬆擴充，讓組織在成長時無需承擔大量額外成本。其他 XDR 解決方案可能需要個別授權與基礎架構，進而增加成本與複雜性。

Azure XDR 的使用案例

Azure XDR 適用於廣泛的安全使用案例：

1. 保護企業環境： 大型組織若擁有複雜的 IT 環境，可使用 Azure XDR 統一其雲端與內部部署資源的安全態勢。
2. 保護遠端工作團隊： 隨著越來越多員工遠端工作，Azure XDR 可為遠端裝置與雲端應用程式提供全面保護。
3. 合規與法規遵循： Azure XDR 透過提供進階威脅偵測與自動化回應能力，協助組織滿足合規要求。
4. 威脅搜尋與調查： 安全團隊可使用 Azure XDR 的進階分析與機器學習工具，主動進行威脅搜尋與調查。

Discover Unparalleled Endpoint Protection

See how AI-powered endpoint security from SentinelOne can help you prevent, detect, and respond to cyber threats in real time.

Get a Demo

開始使用 Azure XDR

若要部署 Azure XDR，您需要設定 Azure Sentinel、整合安全工具，並遵循最佳實務。

1. 設定 Azure Sentinel

首先，開啟 Azure Portal 並搜尋 Azure Sentinel。按一下 建立 以將 Azure Sentinel 新增至您的訂用帳戶。選擇一個 Log Analytics 工作區 來儲存資料。如果您還沒有，請選取 建立新的工作區 來建立新的工作區。

接著，連線所需的資料來源。前往 Azure Sentinel 中的 資料連接器。尋找來自以下來源的連接器，例如 Microsoft 365 Defender、 Azure Active Directory (Azure AD)，以及 Office 365。依照指示啟用各個連接器。例如，選取 Office 365，選擇訂用帳戶與租用戶，然後按一下 連線。對於第三方工具，請使用可用的連接器或部署代理程式，例如 Syslog 或 Common Event Format (CEF)。

2. 整合安全工具

將 Azure XDR 與您所有的安全工具整合。在 資料連接器 中的 Azure Sentinel，連接 Microsoft Defender 產品，例如 Defender for Endpoint, Defender for Identity，以及 Defender for Cloud。依照步驟授權並連結這些服務。此設定會將警示與訊號直接傳送至 Azure Sentinel。

對於非 Microsoft 工具，請使用 Sentinel 內建的連接器。選項包括 SentinelOne, Cisco ASA 和 Symantec。如果沒有可用的連接器，請使用 CEF 或 Syslog 來匯入日誌和資料。

3. 使用 Playbooks 自動化回應

將回應自動化，以減少手動作業並加快威脅緩解速度。前往 Azure Sentinel 中的 自動化。使用 Azure Logic Apps 建立 playbook。將其設定為隔離端點、封鎖 IP 位址，或通知團隊。設定 自動化規則，根據特定警示觸發 playbook。

管理 Azure XDR 的最佳實務

• 定期檢閱並更新規則： 讓您的偵測規則和分析設定隨最新威脅情報保持更新。
• 使用機器學習模型： 啟用 Azure Sentinel 的 User and Entity Behavioral Analytics (UEBA) 以偵測異常和內部威脅。
• 持續監控並精進： 使用 Azure Sentinel 中的 Hunting Queries 來尋找新威脅。啟用 Microsoft Threat Intelligence 以取得更新。
• 培訓您的安全團隊： 確保您的團隊知道如何使用 Azure Sentinel 進行偵測、威脅狩獵和回應。使用 Microsoft 的訓練資源。

依照這些步驟，您可以設定 Azure XDR、有效地加以整合，並維持強大的安全態勢。

挑戰與考量事項

雖然 Azure XDR 提供強大的安全能力，但仍有數項挑戰與考量事項需要留意。透過考量以下因素，您可以確保 Azure XDR 順利部署並符合您的安全需求。

#1. 成本影響

Azure XDR 的定價取決於資料擷取、保留，以及已連接服務的數量。Azure Sentinel 依據每日擷取的資料量和保留期間收費。隨著安全資料量增加，成本也可能上升。為了管理支出，請仔細估算資料擷取率。對較不關鍵的資料使用基本日誌。考慮資料封存並設定保留原則，以在維持合規的同時降低儲存成本。

#2. 組織準備度與培訓

部署 Azure XDR 需要改變您的安全團隊運作方式。請透過提供 Azure Sentinel、Microsoft Defender 和相關元件的培訓來讓團隊做好準備。鼓勵他們使用 Microsoft 的訓練資源、文件和實作實驗室。讓您的團隊熟悉自動化工作流程、threat hunting，以及使用 Azure Sentinel 的劇本進行事件回應。請確保您目前的安全基礎架構支援 Azure XDR 整合。預先補足任何缺口。

#3. 整合複雜性

將 Azure XDR 與現有工具整合可能具有挑戰性，尤其是在混合使用第三方解決方案的情況下。請透過識別可用的連接器以及需要自訂設定的連接器，為潛在問題預作規劃。分配時間進行測試，以確認資料來源已正確連線並提供準確資訊。可考慮讓具備 Azure 經驗的團隊或合作夥伴參與，以簡化整合。

#4. 資料隱私與法規遵循

Azure XDR 會處理大量資料，其中可能包含敏感資訊。請確保符合 GDPR、HIPAA 或 CCPA 等法規要求。定期稽核您的設定以落實資料治理。使用資料匿名化與加密來保護敏感資訊，同時維持對威脅的可視性。

Protect Your Endpoint

See how AI-powered endpoint security from SentinelOne can help you prevent, detect, and respond to cyber threats in real time.

Get a Demo

一體化解決方案

Azure XDR 提供全面且整合的安全性方法。透過結合 Azure Sentinel、Azure Defender 和 Microsoft Threat Intelligence，它提供一套一體化的威脅偵測與回應解決方案。憑藉其自動化能力、進階分析和無縫整合，Azure XDR 可協助安全團隊更有效率地工作。無論您是在保護企業環境，還是在保護遠端工作團隊，Azure XDR 的設計宗旨都是讓您在網路威脅面前始終領先一步。如果您希望強化安全態勢，Azure XDR 是一個很好的起點。