提升 EDR 的功能、速度及易用性

MVISION EDR 可讓所有分析人員瞭解警示內容、徹底進行調查及快速回應問題，進而縮短偵測威脅與做出回應的平均時間。進階分析功能可擴大偵測範圍並釐清警示狀況。透過人工智慧 (AI) 引導式調查功能和自動化作業，使新手分析人員也能瞭解如何進行更詳盡的分析工作，並讓較資深的分析人員有更多時間運用其技能主動找出威脅，同時加快回應時間。

更快偵測出進階端點威脅並做出回應

在缺少正確資料、相關內容和分析的情況下，EDR 系統容易產生過多警示或遺漏新興威脅，這不但浪費寶貴的時間和資源，也無法提升所需的安全性。MVISION EDR 在偵測與調查階段提供不間斷的資料收集功能和多個分析引擎，可協助您準確揭露可疑的行為、釐清警示狀況，並通知您採取行動。

主要優點

■ 提供去蕪存菁的高品質威脅偵測功能，方便您研擬實際因應措施。

■ 在攻擊之前提供有關威脅的主動式深入分析。

■ 快速分析功能可讓您配置更靈活的防禦機制。

■ AI 引導式調查功能可讓分析人員透過機器產生的見解深入掌握攻擊情況。

■ 組織將可大幅提高現有員工的影響力。 ■ 此為低維護需求的雲端解決方案。 ■ 運用既有的內部部署 McAfee ePO 軟體或以 SaaS 為基礎的 MVISON ePO，簡化繁雜的部署作業。

■ 分析人員可專心處理策略性事件回應，同時省卻繁重的管理負擔。

資料工作表

McAfee MVISION Endpoint Detection and Response (MVISION EDR)

1 McAfee MVISION Endpoint Detection and Response (MVISION EDR)

強大的威脅偵測、引導式調查及回應功能，簡單好上手

對手會以隱匿的方式策劃攻擊， 也就是在環境中已然存在且最受信賴的元件內掩飾他們的行動。 他們不見得會安裝惡意軟體等實體物件， 但總是會在事後留下行為軌跡。 Endpoint Detection and Response (EDR) 可持續監控和收集資料， 並提供偵測和回應威脅所需的能見度和相關內容。然而，當前的方法往往會向早已分身乏術的安全性團隊提供過多的資訊。McAfee® MVISION EDR 可協助管理龐大的警示數量，讓所有技術等級的分析人員得以完成更多工作，同時提高調查效率。McAfee® MVISION Insights1 是 MVISION EDR 獨有的首款技術，可在威脅攻擊您之前主動排定其優先順序，同時預測您的對策是否會阻擋它們以及精準描述您需要採取的措施 (若威脅未受阻擋 )。

與我們交流

2 McAfee MVISION Endpoint Detection and Response (MVISION EDR)

資料工作表

■ 掌握相關內容與能見度：端點事件資訊可串流傳輸至雲端，提供揭露隱匿性威脅所需的相關內容與能見度。端點資訊除了可供歷史記錄搜尋使用外，也可用於進行立即和即時的檢查及搜尋作業。此外，彈性的資料保留選項能支援多元化安全性營運團隊和組織的各種需求。

■ 從 MVISION Insights 取得全新的主動式情境：來自

McAfee® Advanced Threat Research 團隊的專家會定義儀表板上的通知或排定優先順序的攻擊活動的電子郵件警示。他們不僅提供攻擊活動資訊，還提供可能遭到入侵的系統的本機評估、預測其對於您的 EPP 的潛在

影響，以及預防對策違規的規範性指引。如此可讓分析人員在對手發動攻擊之前保持領先。相比使用紅/藍團隊練習進行滲透測試，這只需花費較少的時間與資源來排列事件的優先順序、預測與描述威脅。這三大 P

(Prioritize、Predict 和 Prescribe) 會自動執行，並在攻擊之前向我們的團隊推送有關威脅的通知。以往需要好幾週才能完成的工作，現在只要幾分鐘就能完成。如此會讓 SOC 團隊的工作從始終反應式變更為主動式。

■ 利用強大的雲端分析揭露更多內容：分析引擎可檢查端點活動，以揭露大範圍的可疑行為並偵測出逃過其他安全性防禦機制法眼的威脅，包括檔案型惡意軟體和不需檔案的攻擊。雲端式部署則可加快採用新分析引擎和技術的速度。

■ 從攻擊者的角度思考：行為式偵測結果會對應至 MITRE

ATT&CK™ 架構，以更加一致的程序來確定威脅的發展階段和相關的風險，並排定回應的優先順序。

■ 輕鬆瀏覽內容：警示排序可進一步協助分析人員瞭解風險的嚴重性和適當的回應動作。在這個階段中，靈活的資料顯示方式和視覺化圖表可協助不同經驗等級的分析人員輕鬆瀏覽資料，以便快速瞭解出現警示的原因並決定後續步驟：解除警示、做出回應或展開調查。

■ 快速做出回應：MVISION EDR 預先設定的回應功能可讓您立即採取行動。使用者只要終止程序、隔離電腦及刪除檔案，即可輕鬆遏止威脅。分析人員只要按一下滑鼠，就能針對單一端點採取行動，或將回應的規模延展至所有資產。

3 McAfee MVISION Endpoint Detection and Response (MVISION EDR)

資料工作表

AI 引導式調查功能

如果對事件的警示和根本原因所做出的立即回應不夠明確，而且經常如此，這時安全分析人員就必須跳脫既有的 EDR

解決方案框架並展開調查，才能真正瞭解複雜威脅或活動的所有面向以及相關的風險。EDR 解決方案傳統上會提供原始資料、背景資訊和搜尋函數，好讓調查作業展開，但仍然需要具備專業知識的分析人員來進行調查和分析。經驗豐富的分析人員通常沒有時間驗證和調查為數眾多的警示，而經驗不足的分析人員則可能不知道該從何處著手。

有了 MVISION EDR，任何等級的分析人員都能採取後續步驟並展開調查。MVISION EDR 並非僅透過搜尋功能和資料展開調查作業，而是引導調查作業的運作。

■ 動態調查指南：調查指南結合了 McAfee 鑑識調查人員的

經驗和專業知識與人工智慧 (AI)，可強制倍增調查程序，並以最高速度和精準度同時探索多項假設。不同於會針對已知威脅自動執行指令工作的教戰手冊，調查指南可根據現有的案例動態調整，結合不同的調查策略和資料。MVISION EDR 會自動提出問題並尋求解答，以證明或推翻各種假設。此外，MVISION EDR 也會自動從多個來源收集證據，擷取重點後以視覺化方式呈現，並隨著調查過程的演進重複這些動作。

■ ��的����和��相�性：採用 AI 技術的調查引擎會收集並處理產出的結果和複雜的事件序列，而這些資料的來源包括端點、安全性資訊與事件管理 (SIEM)

系統、主動式 MVISION Insights 以及 McAfee® ePolicy

Orchestrator® (McAfee ePO™) 軟體，可協助您釐清警示狀況。MVISION EDR 會將證據與各個部門的已知正常活動和威脅情報來源進行比對，以提高本機相關性，並減少針對正常活動觸發的誤判情形。另外，調查作業可源自於

MVISION EDR 或 SIEM 警示。

■ 為不同使用者提供不同檢視畫面：靈活的資料顯示方式可為經驗等級不同的使用者套用適當的觀點，讓所有分析人員都能快速瞭解產出的結果和事件的關聯，而無須在多個畫面間轉換。

■ 網路釣魚調查：MVISION EDR 可輕鬆插入安全性作業的網路釣魚調查工作流程中。可疑的電子郵件會傳送至 MVISION

EDR 以進行檢查。如經發現為惡意的電子郵件，MVISION

EDR 可快速判斷組織中的哪些電腦可能受到影響。

MVISION EDR 可減少執行調查作業所需的專業知識和工作，並加快分析人員判斷事件風險和根本原因的速度。提升為組織層級，大幅增進效益。每位分析人員的工作效率將因此提高，新進的分析人員將可處理更多案例，而資深的分析人員則能將時間花費在價值最高的活動上。

4 McAfee MVISION Endpoint Detection and Response (MVISION EDR)

資料工作表

在對的時間為現有的工作提供正確的資料

除了引導式調查外，分析人員和威脅追查小組還可使用強大的 MVISION EDR 搜尋和資料收集功能，以擴大調查範圍並深入探究整個系統。

■ 歷史記錄搜尋功能：不間斷且全方位的資料收集功能可將端點事件資訊從所有受監控的系統串流至雲端。無論各個端點目前為上線或離線狀態，分析人員都可以搜尋此集中式資料，以找出可能會與刪除的檔案一起出現的入侵指標 (IoC) 和攻擊指標 (IoA)。

■ 即時搜尋功能：以查詢作用中事件為例，即時搜尋功能會接觸整個資產中的端點，以快速查詢最新的即時資訊。彈性的語法可支援各種功能，像是搜尋已安裝應用程式的工作站等簡易查詢，或是會從工作站傳回較多資料的複雜搜尋，例如在事件發生時、執行命令列期間，以及在可疑的應用程式啟動時識別相關的使用者。此外，這項搜尋功能還可輕鬆將整個企業的查詢規模擴大至上萬台電腦。

■ 隨選資料收集功能：為了支援調查作業，MVISION EDR 可依需求建立端點的快照，擷取作用中處理程序、網路連線、服務及自動執行項目的完整畫面。MVISION EDR 會提供相關聯的嚴重性和其他資訊，例如雜湊、信用評

價，以及執行可疑檔案的上層處理程序/服務/使用者。快照可由非持續性資料收集工具支援提供，且在受監控和非受監控的系統上皆可擷取。

■ 除了引導式調查外，分析人員和威脅追查小組還可使用強大的 MVISION EDR 搜尋和資料收集功能以及 MVISION

Insights 主動式資料，以擴大調查範圍並深入探究整個系統。

以協同合作的方式擴大能見度、提高作業效率及改善結果

MVISION EDR 是整合式安全性生態系統的重要元件，可延伸端點保護能力以及擴大能見度，同時支援安全性團隊的工作流程和處理程序，藉此協助縮短偵測和回應的平均時間，並提高作業效率。

■ 將整個企業中的資料建立關聯，以獲得全盤性的能見度：若要降低多面向威脅調查作業之間的資料落差，協同合作與輕鬆整合端點以外的資料來源便是重要的關鍵。

MVISION EDR 與 McAfee® Enterprise Security Manager 或第三方產品等安全性資訊與事件管理 (SIEM) 解決方案緊密整合，使其能將端點產出的結果與網路資訊和 SIEM 收集的其他資料建立關聯，並藉此擴大調查能力和洞察力。

5

資料工作表

− MVISION EDR 會利用 MVISION Insights 提供的有關新的外部威脅的主動情境，加速調查與修補工作。

− 依據攻擊活動是否針對您所在的行業或地理位置， MVISION Insights 會警示已排列優先順序的潛在攻擊活動。會針對攻擊活動預測端點是否缺少防護以及還可

以採取哪些舉措來改善偵測能力。還會通知分析人員攻擊活動攻擊作業、攻擊的目標以及對策的戰略性與風險降低建議。借助 MVISION EDR，MVISION Insights 會提供一整套 IoC 來進行主動搜尋。分析人員可以執行主動搜尋或使用其他工具研究其他威脅。

圖 1. MVISION Insights 儀表板：MVISION Insights 會自動提供重要的威脅，以及在攻擊面前該如何應對的指引。提供額外的 EDR 深入分析，以便釐清並加快調查速度。

McAfee MVISION Endpoint Detection and Response (MVISION EDR)

6

資料工作表

− 若 MVISION Insights 遙測技術顯示您可能受到攻擊活動的影響，MVISION Insights 會從 MVISION Insights 向 MVISION EDR 提供精闢見解。分析人員會挑選有問題的 IoC，從而節省時間與工作，無需手動複製與粘貼 IoC 資訊。每一個攻擊活動都會隨附一整套攻擊活動 IoC，顯著提高了潛在違規的調查速度。

■ 支援團隊協同合作與工作流程：MVISION EDR 可插入目前的安全性作業工作流程，並透過安全性事件回應平台共用調查資料和更新，藉此支援協同合作。

■ 可擴充且容易部署：MVISION EDR 是以 SaaS 應用程式的形式提供，並透過 McAfee ePO 軟體提供管理功能，該軟體為業界最佳的集中式安全性管理平台，能有效簡化

MVISION EDR 的部署和後續維護工作，以及整個安全性基礎架構。McAfee ePO 軟體現已可在內部部署和雲端中使用，其具備管理靈活性，可滿足組織各式各樣的需求。

如需 MVISION EDR 的相關資訊，請連絡 McAfee 代表或造訪 www.mcafee.com/enterprise/zh-tw/solutions/

mvision.html。

正在尋找 Managed Endpoint Detection and Response？

Managed Detection and Response (MDR) 代表一種旨在保護您的資料與資產的外包網路安全性服務，即使威脅避開常見的組織安全性控制也如此。

MDR 安全性平台被視為進階的全天候安全性控制，通常包括一系列基礎的安全性活動，其中包括針對無法維護自身安全性運營中心的組織提供的雲端管理型安全性。MDR 服務會將進階分析、威脅情報以及人工專業經驗融入到事件調查與回應之中，並部署在主機與網路層級。McAfee 認證服務提供商合作夥伴將提供全天候關鍵警示監控、受管威脅獵捕、進階調查及威脅中斷，大幅提升組織的威脅偵測與回應能力。

深入瞭解採用 McAfee 技術的 MDR：www.mcafee.com/

MDR。 1. MVISION Insights 需有 McAfee Endpoint Security 遙測 (選擇加入) 才能正確運作。如果您不想提供此遙測，就不應選擇此產品，因您會無法收到完整值。

McAfee MVISION Endpoint Detection and Response (MVISION EDR)

7

資料工作表

圖 2. MVISION EDR 為您進行調查。此應用程式會自動收集產出的結果並呈現重要發現。視覺化圖表可呈現各項資訊之間的關係，讓分析人員更快掌握狀況。 MVISION EDR 會提出適當的問題並尋求解答，以證明或推翻各種假設。

McAfee MVISION Endpoint Detection and Response (MVISION EDR)

資料工作表

8 McAfee MVISION Endpoint Detection and Response (MVISION EDR)

McAfee 和 McAfee 標誌、ePolicy Orchestrator 與 McAfee ePO 是 McAfee, LLC 或其附設公司在美國及其他國家/地區的商標或註冊商標。其他標誌與品牌可能為其各自擁有者的財產。 Copyright © 2020 McAfee, LLC. 4495_0720

2020 年 7 月

台灣台北市信義區忠孝東路五段 68 號 29 樓， 11065電話：+886 2 8729 9222www.mcafee.com/tw

圖 3. 藉由在 EDR 中進行搜尋，MVISION Insights 可提供高優先級威脅的 IoC。