A Cyber Crucible é uma EDR, XDR, MDR? Ou algo diferente, como Agentic AI?
Resposta curta: Ela possui elementos tanto de EDR quanto de XDR, mas a questão da categoria é a pergunta errada. O que importa é onde a decisão é tomada. A lógica de resposta da Cyber Crucible é executada inteiramente no endpoint, usando apenas as informações disponíveis ali no momento do ataque — porque servidores analíticos remotos introduzem duas fraquezas fatais: latência e fragilidade.
A resposta honesta à questão do rótulo
- Como EDR: se uma EDR usa telemetria de endpoint para tomar decisões, então a resposta automatizada da Cyber Crucible é uma EDR. Ela contém o comportamento de extorsão em milissegundos, usando apenas informações locais.
- Como XDR: a telemetria também é enviada a um banco de dados (appliance do cliente ou central) para correlação, caça a ameaças, trabalho contra ameaças internas e auditorias de TI. Pela definição de marketing de XDR, isso se qualifica.
A equipe está confortável com "EDR para defesa contra extorsão", ainda que a computação de borda seja vista por alguns como algo de geração anterior. O raciocínio abaixo explica por que essa visão está equivocada.
Por que a análise remota se tornou uma desvantagem — latência
O "X" em XDR representa a transferência do poder de computação analítica para servidores remotos. Isso traz poder, mas custa tempo, e os atacantes construíram suas táticas em torno dessa lacuna:
- Velocidade: os ataques foram acelerados de modo que ações irreversíveis se completem antes que um servidor analítico consiga responder. Isso é especialmente visível com itens pequenos e de alto valor, como senhas.
- Paralelismo: muitas ferramentas de endpoint inspecionam um programa por vez, aguardam e então passam ao próximo. Os atacantes executam vários programas de extorsão simultaneamente — 5.000 arquivos acessados em paralelo em vez de 500.
- Distribuição: a extorsão ocorre em muitas máquinas ao mesmo tempo. A Cyber Crucible já observou cerca de 75 máquinas simultaneamente. Uma ferramenta enfrenta então 50 programas em 75 máquinas — 3.750 programas a inspecionar.
- Processos comandantes: alguns atacantes executam um controlador local que reinicia instantaneamente qualquer ferramenta de extorsão que seja encerrada.
Estratégias de detecção e resposta, por natureza, esperam que o ataque já esteja em andamento. A analogia mais adequada é impedir assaltantes de banco na porta, em vez de detê-los depois que uma certa quantia já saiu do cofre.
Por que a análise remota se tornou uma desvantagem — fragilidade
Cerca de 80% das soluções de EDR e XDR precisam de acesso a servidores analíticos remotos para funcionar de forma ideal, e ficam praticamente inoperantes sem esse "cérebro" na nuvem.
Os atacantes exploram isso diretamente: obtêm acesso suficiente para alterar regras de firewall, bloqueando a ferramenta de endpoint de alcançar seus servidores analíticos, e a ferramenta perde a capacidade de analisar ou responder. Ela permanece instalada, em execução, não explorada — e praticamente ineficaz.
O que a Cyber Crucible faz em vez disso
Como a latência e a fragilidade tornam a dependência da nuvem insustentável para a defesa contra extorsão, a Cyber Crucible criou uma capacidade de detecção e resposta cuja análise comportamental utiliza apenas informações disponíveis no endpoint no momento do ataque. A interdição ocorre localmente, tipicamente em menos de 200 milissegundos, sem nenhuma ida e volta à nuvem no caminho crítico.
A telemetria que é enviada ao banco de dados serve para apoiar investigações, não para proteção — caça a ameaças, detecção de ameaças internas, auditorias de TI — e uma API aberta permite alimentar plataformas XDR abertas, SOAR ou ferramentas de RPA. Esse trabalho é valioso, mas nunca é o que se interpõe entre você e um ataque em andamento.