Introduction

Field Effect MDR est une solution de cybersécurité qui comprend des agents de points terminaux, des intégrations cloud pour surveiller vos services cloud et (pour les clients de Field Effect MDR Complete) la surveillance du réseau. Lorsque Field Effect MDR détecte des situations qui nécessitent une action ou un suivi pour gérer votre cybersécurité, vous en serez informé par l'intermédiaire de notre mécanisme de signalement de base, un ARO (Action, Recommandation ou Observation).

Comment les utilisateurs interagissent avec le MDR à effet de champ.

Votre principal point d'accès à vos services Field Effect MDR est le portail Field Effect MDR. Ce portail héberge vos ARO et vous permet d'explorer vos services.

Si vous êtes un client direct de Field Effect, vous serez en mesure de gérer et de configurer vos services. Si vous êtes un partenaire, vous gérerez les services de vos clients à partir du portail MDR, tandis que vous gérerez vos attributions de licences pour vos clients finaux via le portail de gestion des licences Field Effect.

Comment fonctionne le Field Effect MDR

Field Effect MDR commence par l'appareil principale, qui agit comme contrôleur principal de la solution. Les appareils primaires peuvent être déployées dans les réseaux d'un client (physiquement ou virtuellement) ou hébergées virtuellement par Field Effect dans le nuage en fonction de la licence (Core ou Complete) et de la configuration du réseau du client.

Pour les clients de Field Effect MDR Complete, le type d'appareil que nous déployons dépendra des caractéristiques du réseau. Les ingénieurs des ventes et la réussite client de Field Effect aideront à s'assurer que l'appareil appropriée est sélectionnée, en fonction des détails du réseau. Les succursales qui nécessitent une surveillance du réseau nécessiteront une appareil distant à chaque site - et nous vous aiderons à vous assurer que vous disposez également des bons types d'appareils pour ces sites.

Pour les clients de Field Effect MDR Core, Field Effect fournit des appareils primaires hébergées dans le cloud.

Field Effect MDR comprend également un agent pour les points terminaux. Ces agents communiquent avec l'appareil principale soit directement (si elle se trouve dans le même réseau), soit au moyen d'un relais crypté et unique à votre déploiement MDR.  Si vous avez des appareils distants, ceux-ci communiqueront également avec votre appareil principal au moyen de ce même relais crypté. Field Effect communique également avec votre appareil principal via ce relais.

Enfin, Field Effect MDR est capable de s'intégrer à plusieurs services infonuagiques, qui sont configurés dans le portail MDR. Une fois qu'un client a inscrit un service infonuagique via le portail, Field Effect MDR surveillera et analysera la télémétrie du service et l'activité des utilisateurs pour produire des rapports et générera des ARO basés sur l'analyse de Field Effect MDR.

Voici comment les composants de Field Effect MDR s'intègrent dans votre réseau.

Comment les terminaux communiquent avec l'appliance

Le service MDR de Field Effect est déployé en utilisant soit un appareil réseau virtuel, soit un appareil réseau physique, auquel l'agent de point de terminaison se connecte. Dans les deux types de déploiement, l'agent de point de terminaison communiquera avec l'appareil de deux manières :

• Réseau : lorsqu'il est connecté au même réseau que l'appareil, l'agent communiquera directement avec l'appareil.
• Relais : lorsque l'agent ne peut pas se connecter directement à l'appareil (exemple : emplacement distant), un « relais » crypté est utilisé pour la communication.

L'appareil n'est pas accessible publiquement pour les déploiements virtuels, donc le relais sera toujours utilisé pour les communications.

Chaque agent est généralement configuré avec deux domaines; l'un qui se résout à l'adresse IP locale de l'appareil et l'autre qui se résout au relais. Ces configurations sont effectuées automatiquement pendant le processus d'installation, et l'agent alterne entre ces deux options, ne se connectant qu'à un serveur avec un certificat valide.

Nos configurations sont signées par notre racine de confiance, qui est codée en dur dans l'agent. Tous les messages envoyés par un agent à l'appareil sont également cryptés avec la clé de l'appareil en utilisant X25519. Les messages envoyés de l'appareil à l'agent sont signés ED25519 avec la clé de l'appareil. De plus, les messages sensibles tels que ceux relatifs à nos règles EDR sont séparément signés ED25519 avec des clés qui ne sont pas présentes sur l'appareil, minimisant ainsi l'impact d'un compromis de l'appareil.

Connexions supplémentaires

Il y a certains scénarios où le point de terminaison établira une connexion avec l'un des deux serveurs globaux, le « Serveur d'identité » et le « Serveur de journaux » comme décrit ci-dessous :

Serveur d'identité (epid.fieldeffect.net)

Lorsqu'un agent de point de terminaison est installé, il se connecte au Serveur d'identité pour récupérer sa configuration (les domaines de l'appareil et du relais). Si l'agent perd sa connexion avec les serveurs configurés pendant plus d'une semaine, il se reconnectera à ce Serveur d'identité dans une tentative de restaurer la connexion et de reconfigurer l'agent.

Serveur de journaux (installlogs.fieldeffect.net)

Ce serveur collecte des données pour soutenir le débogage lié à l'installation et à la santé. Après une installation, l'agent fournit un rapport unique qui inclut une télémétrie de base de l'hôte pour aider à enquêter sur les échecs. Ce serveur peut également demander des diagnostics à distance via ce service.

Lorsqu'un agent rencontre un problème, tel qu'une interruption de service inattendue ou un redémarrage, il est signalé au Serveur de journaux. Si le serveur détecte qu'il ne fonctionne pas, il peut automatiquement forcer le redémarrage de l'agent.

Approfondir le Field Effect MDR

Pour les clients de MDR Complete qui souhaitent approfondir la télémétrie, les alertes et les données qui déterminent le moment où nous générons des ARO, vous pouvez accéder au tableau de bord de l'appareil Field Effect.