Van EDR-beheer naar een schaalbare cybersecuritydienst: de volgende stap voor MSP's

Recentelijk kwam een managed service provider (MSP) naar ons toe met een vraag waar veel MSP's momenteel mee worstelen:

“Onze klanten verwachten steeds vaker dat wij verantwoordelijkheid nemen voor hun cybersecurity. Maar in de praktijk beheren we alleen hun EDR-oplossing. Hoe kunnen we een bredere securitydienst leveren als we zo weinig zicht hebben op de rest van de omgeving?”

Het is een belangrijke vraag. Klanten zien cybersecurity niet langer als een verzameling losse producten. Zij verwachten dat hun IT-partner helpt de organisatie als geheel te beschermen. Wanneer zich een incident voordoet, zullen zij waarschijnlijk niet vragen welke securitytool het heeft gedetecteerd of welke leverancier verantwoordelijk was voor een specifieke beveiligingsmaatregel.

Zij zullen hun MSP vragen: "Wat is er gebeurd, wat hebben jullie eraan gedaan en zijn we nu weer veilig?" Dat plaatst MSP's in een lastige positie. Zij kunnen verantwoordelijk worden gehouden voor de beveiligingsstatus van de klant, terwijl zij in de praktijk slechts operationele controle hebben over één onderdeel van de securityomgeving.
 

EDR is essentieel, maar geeft niet het volledige beeld

Endpoint Detection and Response vormt een waardevolle basis voor iedere managed cybersecuritydienst. Het biedt inzicht in endpoints, detecteert verdachte activiteiten en ondersteunt het isoleren van gecompromitteerde systemen. Maar een aanval blijft zelden beperkt tot één endpoint. Een phishingmail kan leiden tot diefstal van inloggegevens. Vervolgens kan het gecompromitteerde account worden gebruikt om toegang te krijgen tot een cloudapplicatie. Daarna kan een aanvaller via de firewall communiceren met kwaadaardige infrastructuur en zich lateraal door de omgeving verplaatsen.

Een EDR-platform kan een deel van deze activiteiten detecteren, maar biedt niet automatisch de volledige context over:

• e-mailbeveiliging;
• identiteits- en toegangsbeheer;
• firewalls en netwerkbeveiliging;
• cloudomgevingen;
• threat intelligence-bronnen;
• SIEM-platformen;
• kwetsbaarheidsinformatie;
• servicedesk- en ticketsystemen.

Wanneer deze technologieën los van elkaar functioneren, moet de MSP handmatig tussen verschillende portals schakelen, afzonderlijke meldingen interpreteren en bepalen of ogenschijnlijk losstaande gebeurtenissen onderdeel zijn van hetzelfde incident. Die werkwijze is niet schaalbaar. Bovendien maakt dit het lastig om duidelijke servicelevels, consistente responsprocedures en waardevolle rapportages aan klanten te bieden.
 

Een MSP heeft niet per se meer tools nodig

De logische reactie is vaak om nóg een securityproduct toe te voegen. In de praktijk beschikken de meeste klanten echter al over een breed scala aan beveiligingstechnologieën.

Het werkelijke probleem is meestal niet een tekort aan tools, maar een gebrek aan integratie, context en gecoördineerde respons. Het vervangen van de bestaande securitystack van de klant kan kostbaar, ingrijpend en commercieel lastig zijn. Bovendien kan dit ertoe leiden dat eerdere investeringen worden afgeschreven voordat zij hun volledige waarde hebben opgeleverd. Een effectievere aanpak is om de technologieën die de klant al gebruikt met elkaar te verbinden en te orkestreren. De MSP kan zijn cybersecuritydienst dan bouwen rondom een geïntegreerde operationele laag in plaats van rondom één afzonderlijk securityproduct. Juist hier wordt Security Orchestration, Automation and Response (SOAR) strategisch belangrijk.
 

Wat voegt SOAR toe aan een MSP-dienst?

Een SOAR-platform verbindt alerts, threat intelligence, systemen en responsacties tot gestructureerde workflows. In plaats van iedere EDR-alert als een op zichzelf staand incident te behandelen, kan SOAR deze verrijken met informatie uit andere bronnen. Zo kan het controleren of een IP-adres, domein of hash bekendstaat als kwaadaardig, bepalen of het getroffen systeem bedrijfskritisch is en gerelateerde activiteiten elders in de omgeving identificeren. Vervolgens kan het platform automatisch de juiste responsworkflow starten.

Afhankelijk van het scenario en de met de klant afgesproken beleidsregels kan dit onder andere bestaan uit:

• het verrijken van de alert met threat intelligence;
• het controleren van gerelateerde indicatoren in andere systemen;
• het aanmaken en bijwerken van een incidentdossier;
• het informeren van de juiste stakeholders;
• het isoleren van een endpoint;
• het blokkeren van een kwaadaardig domein of IP-adres;
• het uitschakelen of escaleren van een gecompromitteerd account;
• het vastleggen van iedere actie ten behoeve van rapportage en audits.

Repetitieve taken kunnen worden geautomatiseerd, terwijl beslissingen die menselijke beoordeling vereisen bij een securityanalist blijven liggen. Juist die combinatie is essentieel. SOAR is niet bedoeld om mensen uit het proces te halen. Het stelt analisten in staat minder tijd te besteden aan het verzamelen van informatie en routinematige handelingen, zodat zij zich kunnen richten op het onderzoeken van complexe dreigingen en het adviseren van klanten.
 

Van beperkte zichtbaarheid naar gecoördineerde securityoperaties

Voor de MSP ligt het grootste voordeel niet uitsluitend in automatisering. Het gaat vooral om de mogelijkheid een bredere en consistenter geleverde dienstverlening op te bouwen. Het EDR-platform blijft een belangrijk onderdeel van de oplossing, maar wordt één informatiebron binnen een geïntegreerde securityoperatie. Door de bestaande securitystack van de klant met elkaar te verbinden, kan de MSP een veel completer beeld van incidenten opbouwen zonder dat iedere klant exact dezelfde combinatie van producten hoeft te gebruiken. Dat is commercieel gezien een belangrijk voordeel.

MSP's bedienen vaak klanten met uiteenlopende firewalls, e-mailplatformen, cloudomgevingen en endpointoplossingen. Een dienstverlening die afhankelijk is van het vervangen van al deze technologieën zal moeilijk verkoopbaar en kostbaar zijn om te leveren. Een orkestratielaag stelt de MSP in staat voort te bouwen op de bestaande investeringen van de klant en de serviceprocessen daar geleidelijk omheen te standaardiseren. De waarde verschuift daarmee van het beheren van een individueel securityproduct naar het beheren van de volledige incidentlevenscyclus.
 

SOAR creëert bovendien een herhaalbaar servicemodel

Een schaalbare cybersecuritydienst kan niet volledig afhankelijk zijn van de ervaring en het geheugen van individuele engineers. Wanneer iedere alert anders wordt afgehandeld, ontstaat een inconsistente dienstverlening. Responstijden lopen uiteen, kennis blijft bij specifieke medewerkers en het wordt lastig aan te tonen dat afgesproken procedures daadwerkelijk zijn gevolgd. Met SOAR-playbooks kan een MSP responsprocedures vastleggen in herhaalbare workflows.

Een playbook kan bijvoorbeeld bepalen:

• welke informatie moet worden verzameld;
• welke systemen moeten worden gecontroleerd;
• hoe de ernst van een incident wordt bepaald;
• welke acties automatisch mogen worden uitgevoerd;
• wanneer goedkeuring van een analist vereist is;
• wanneer de klant moet worden geïnformeerd;
• hoe het incident moet worden gedocumenteerd.

Hierdoor kan de MSP een consistente dienstverlening leveren, ongeacht de klant of de betrokken analist. Tegelijkertijd ondersteunt dit onboarding, kwaliteitsborging, compliancerapportages en continue verbetering. Iedere actie kan worden vastgelegd, inclusief de alert die het proces heeft gestart, de informatie waarop een beslissing is gebaseerd en de uiteindelijke respons. Voor klanten zorgt dat voor transparantie. Voor de MSP betekent het meer controle.
 

De commerciële kans voor MSP's

Een MSP die uitsluitend EDR beheert, levert in feite een productgerichte dienst. Een MSP die EDR combineert met geïntegreerde monitoring, threat intelligence, geautomatiseerde respons en incidentmanagement levert daarentegen een concreet cybersecurityresultaat.

Dat opent de deur naar diensten met een hogere toegevoegde waarde, zoals:

• Managed Detection and Response (MDR);
• continue securitymonitoring;
• threat intelligence-diensten;
• incident response-retainers;
• compliance- en managementrapportages;
• security posture reviews;
• branchespecifieke threat briefings;
• proactieve threat hunting.

Daarmee verandert ook het gesprek met de klant.

In plaats van te praten over licenties en endpointalerts, kan de MSP het gesprek voeren over responstijden, risicoreductie, dekking, incidentafhandeling en bedrijfscontinuïteit.
 

Ons antwoord aan de MSP

Ons antwoord was eenvoudig: schaf de EDR-dienst niet af. Bouw erop voort.
Gebruik het EDR-platform als een sterke detectie- en responscomponent, maar verbind het met een breder operationeel model. Integreer de bestaande securitymaatregelen van de klant. Centraliseer incidentafhandeling. Verrijk alerts automatisch. Gebruik playbooks om de respons sneller en consistenter te maken. Zet menselijke expertise in waar deze de meeste toegevoegde waarde biedt. Misschien wel het belangrijkste: dwing klanten niet om technologieën te vervangen die al goed functioneren. Een goed ontworpen SOAR-aanpak moet de MSP helpen om de bestaande security-investeringen van de klant maximaal te benutten, niet om deze overbodig te maken. WatchEagle SOAR is ontwikkeld vanuit precies dat uitgangspunt: threat intelligence, incidentmanagement en geautomatiseerde respons samenbrengen, terwijl wordt voortgebouwd op de bestaande securitystack van de klant.

Voor MSP's ligt de kans voor het oprapen. Klanten verwachten nu al dat hun IT-partner steeds meer verantwoordelijkheid neemt voor cybersecurity. De vraag is of de MSP individuele tools blijft beheren of de geïntegreerde capaciteiten ontwikkelt die nodig zijn om daadwerkelijk securityresultaten te leveren.

EDR is het vertrekpunt. Integratie en orkestratie maken er een schaalbare cybersecuritydienst van.