Vi har Microsoft Defender. Hva tilfører SOC og MDR?

Hotellet kan allerede ha god sikkerhetsteknologi. Merverdien av et SOC (et Security Operations Center) og en MDR tjeneste (Managed Detection Respons) ligger i avtalt operativ oppfølging av relevante signaler, undersøkelser og respons, også når hotellets egne IT-ressurser ikke er på jobb.

Har dere Defender, er det naturlig å spørre hva dere får igjen for en ekstra sikkerhetstjeneste. Svaret avhenger av hvordan beskyttelsen er konfigurert, hvilke systemer den dekker, og hvem som følger opp hendelsene. Dersom dere allerede har en operativ sikkerhetsfunksjon hele døgnet, bør en ny tjeneste fylle konkrete gap og ha en tydelig ansvarsdeling.

Defender leverer sikkerhetsfunksjoner og signaler. Et SOC organiserer den operative oppfølgingen med mennesker, prosesser og teknologi. MDR gjør oppdagelse og respons til en avtalt, administrert tjeneste. Et SOC kan levere MDR basert på Defender og andre datakilder; det er ikke nødvendigvis to separate tjenester hotellet må kjøpe.

Hva skjer når et varsel oppstår etter kontortid

Se for deg et illustrerende scenario: En medarbeider som håndterer bookinger, åpner en falsk henvendelse. Sikkerhetsplattformen oppdager mistenkelig aktivitet på PC-en. Avhengig av produkt, lisens, signalgrunnlag og konfigurasjon kan plattformen blokkere aktivitet eller bidra til automatisk isolering av en berørt enhet. [6]

Selv om aktiviteten er blokkert, må noen avklare hva som har skjedd. Ble innloggingsopplysninger eksponert før blokkeringen? Har den samme kontoen blitt brukt fra et annet sted? Er flere hoteller berørt? Trenger booking- eller PMS-leverandøren å involveres?

En MDR-tjeneste kan undersøke relevante varsler og logger, vurdere omfanget og utføre eller koordinere avtalte tiltak. Hvis tilgangen til gjestedata er truet, kan oppfølgingen også kreve sikring av kontoer og aktive økter. Det forutsetter nødvendige fullmakter og funksjoner i systemene som er berørt.

For hotellet er den praktiske verdien at oppfølgingen har en definert eier, også om natten. Samtidig må tiltakene ta hensyn til driften. Å isolere en PC kan være riktig, men personalet må vite hvordan de fortsetter innsjekkingen mens undersøkelsen pågår.

Defender kan allerede gjøre mye av arbeidet automatisk

Microsoft Defender er en produktfamilie. Defender for Endpoint Plan 2 omfatter blant annet EDR, altså oppdagelse og respons på endepunkter, samt automatisert undersøkelse og respons. Defender er dermed langt mer enn et verktøy som sender varsler. Hva hotellet faktisk får, avhenger av produktene, lisensene og oppsettet. [4]

Microsoft tilbyr selv MDR separat fra Defender-produktene. Microsoft beskriver tjenesten som en utvidelse av kundens sikkerhetsoperasjon, ikke som en erstatning for alle SOC-funksjoner. Det understreker at teknologi og operativ oppfølging utfyller hverandre. [5]

Disse spørsmålene viser om hotellet har et gap

En SOC/MDR-avtale bør gjøre det tydelig hva hotellet får utover dagens oppfølging. Be leverandøren konkretisere disse punktene:

En bookingkonto kan misbrukes mens datamaskinen fungerer normalt

En konto som er stjålet gjennom en falsk innloggingsside, kan brukes uten at angriperen installerer skadevare på hotellets PC. Fravær av endepunktvarsler er derfor ikke i seg selv bevis på at gjestedataene er trygge.

Det er forskjell på å følge opp endepunktvarsler og å undersøke sammenhengen mellom endepunkter, identiteter og nettverk. Booking- og PMS-plattformer kan dessuten ha begrensede muligheter for logging eller respons. Be om en oversikt over både det som dekkes, og det som må håndteres sammen med hotellet eller plattformleverandøren.

Avtal tiltak som fungerer i hotellhverdagen

Respons bør bygge på avtalte handlingsplaner som beskriver både sikkerhetstiltak og driftsmessige konsekvenser. For eksempel kan hotellet ha forhåndsgodkjent isolering av enkelte PC-er, mens tiltak mot kritiske servere krever en annen vurdering. Fullmaktene må også fungere om natten og i helger.

Hotellet beholder virksomhetsansvaret. En MDR-tjeneste gjør ikke sikkerhetskopier, oppdateringer, tilgangsstyring eller opplæring overflødig. Omfattende hendelseshåndtering, gjenoppretting og kommunikasjon med gjester kan kreve ressurser utover den løpende tjenesten. Ansvarsdelingen bør være tydelig før avtalen inngås.

Bygg videre på sikkerhetsinvesteringene

Har hotellet allerede Defender, bør første steg være å kontrollere at relevante funksjoner er riktig konfigurert og tatt i bruk. Avklar deretter om signalene følges opp hele døgnet, og om noen har mandat til å handle. Det gir et konkret grunnlag for å vurdere behovet for SOC og MDR.

NetNordic kan bistå med å vurdere hvordan eksisterende sikkerhetsinvesteringer kan kobles tettere til nettverket og infrastrukturen hotelldriften er avhengig av. Kombinasjonen av nettverksdrift, NOC og Cyber Defense Services er relevant når en hendelse må håndteres med forståelse for både sikkerhet og tilgjengelighet. Støtte for den aktuelle Defender-løsningen, datakilder og responstiltak må avklares i leveransen.

Kontakt oss for en kartlegging og dypere sikkerhetsprat!

Kilder

[4] Microsoft — Microsoft Defender Licensing Guidance

[5] Microsoft Learn — What is Microsoft Defender Experts MDR

[6] Microsoft Learn — Overview of endpoint detection and response

Forfatter

Bjørn-Erik Eskemose

Director - NetNordic Hospitality

John Helge Gantz

Solutions Architect at NetNordic Norway

About John Helge Gantz

John-Helge jobber i skjæringspunktet mellom informasjonssikkerhet, cybersikkerhet og organisatoriske beslutninger. Med mer enn 15 års erfaring innen testing, kvalitetssikring og compliance hjelper han virksomheter med å utvikle sikkerhet som støtter forretningsmålene. Han er særlig opptatt av sikkerhetsarkitektur, styring og risiko, og av å gjøre teknisk kompleksitet forståelig og relevant for ledelsen. Filosofien hans er enkel: Sikkerhet kan ikke bare erklæres. Den må kunne dokumenteres i praksis.