Was ist EDR? Die Abkürzung EDR steht für Endpoint Detection and Response. Mittlerweile ist EDR in aller Munde und steht bei vielen Security Anbietern ganz oben auf der Agenda. Doch was genau steckt hinter der Bezeichnung Endpoint Detection and Response? Wir haben Ihnen ein paar Informationen zusammengetragen und erläutern Ihnen kurz was genau EDR ist und wie es für Sie nützlich sein kann.
Was ist EDR?
EDR steht für Endpoint Detection and Response. Im Prinzip werden von Endpoints Daten über das System gesammelt, zu einem weiteren Monitoring System geschickt und analysiert. Mit Hilfe von EDR können frühzeitig Veränderungen oder Anomalien an Systemen registriert werden. Durch automatische Regeln bzw. IT-Security Spezialisten werden die Daten analysiert und anschließend gibt es eine Reaktion also ein Response.
Es stehen einige diverse Ansätze von verschiedensten Herstellern am Markt zur Verfügung. Das EDR ist zunächst mal nur ein Sammeln von Daten eines Systems und anschließender Auswertung. Hin und wieder kommen weitere Sicherheitsfunktionen hinzu, je nach Hersteller. In einem sogenannten SOC (Security Operations Center) laufen die Daten zusammen und können durch Analyse-Spezialisten analysiert und kategorisiert werden.
Ein EDR Beispiel
Nehmen wir einen ganz gewöhnlichen User, der E-Mails schreibt über Outlook, Microsoft Office Anwendungen verwendet und evtl. ein ERP oder Warenwirtschaftssystem. Die Office-Anwendungen werden ohne Makros oder sonstigen VBA-Scripte verwendet. Wird nun beispielsweise aus einer Office-Anwendung die Windows Powershell mit einem Befehl aufgerufen, könnte das eine Anomalie sein und evtl. ein Schadcode sein. Dieses Event bzw. diese Information wird an das SOC gemeldet bzw. an die EDR Instanz des jeweiligen eingesetzten Tools. Nun können automatisierte Regeln einen Abgleich mit vorhandenen Angriffsszenarien durchführen. Zusätzlich können Spezialisten sich diese Anomalie genauer ansehen und an Empfehlung an den Kunden weitergeben.
Durch die Endpoint Detection und Response können also Angriffe frühzeitig erkannt werden. Es handelt sich also auch um Frühwarnsystem für Ihre IT-Infrastruktur. Handelt es bei dem oben genannten Beispiel um eine legitime Aktion auf dem Endsystem, kann das Event abgearbeitet werden. Sollte es wie ein Angriffsmuster aussehen oder haben die Spezialisten Ihre Bedenken bei dieser Aktion können weitere Schritte eingeleitet werden. So wäre es denkbar das Endsystem von den anderen Systemen zu isolieren um eventuelle Schäden auf anderen Systemen zu vermeiden. Auch ein Abtrennen vom lokalen Netzwerk ist eine Möglichkeit. Generell gibt es viele weitere Mechanismen die nun zum Tragen kommen können.
Ist EDR etwas ganz neues?
Nein, EDR ist keine neue Erfindung der IT-Security Industrie. Der Begriff ist schon seit einigen Jahren im Umlauf und auch die Funktionen sind schon seit einigen Jahren bekannt. Allerdings stieg das Interesse an weiterführenden Endpoint-Lösungen in den letzten zwei Jahren. Das Anti-Viren-System, welches ein fester Bestandteil in der Sicherheitsinfrastruktur von Unternehmen ist, wird nun mit einer ergänzenden Funktion erweitert. Durch Cloud-Anbindungen und Anbindungen zu einem SOC können Unternehmen Ihre IT-Strukturen noch effizienter und besser schützen.
Wo ist der Haken?
Der Haken bei EDR – Endpoint Detection and Response ist im Prinzip das Know-how. Daten sammeln ist noch kein effizienter Schutz gegen Cyberkriminalität. Diese Informationen auswerten, mit Angriffsszenarien vergleichen und wissen was diese Meldungen bedeuten ist das “A” und “O” von EDR. Unternehmen müssen also Mitarbeitern beschäftigen, welche auch die erzeugten Events lesen und richtig interpretieren können. Dafür gibt es IT-Security Analysten deren Aufgabe es ist, diese Anomalien, Auffälligkeiten etc. zu erkennen bzw. zu bewerten.
Nicht jedes Unternehmen hat die Mittel sich eigens dafür Mitarbeiter einzustellen. Viele Anbieter von EDR Lösungen bieten deshalb gleich ein SOC mit an oder eine MDR (Managed Detection and Response). Hierbei profitiert der Kunden vom Know-how der Hersteller und deren Analysten. Auf diesem Weg muss das Unternehmen keine eigenen Mitarbeiter anstellen bzw. anlernen, sondern kann sich das Wissen von Herstellern als Service buchen.
Was ist EDR? Sie möchten mehr zu diesem Thema erfahren?
Lesen Sie hier mehr zu einer der führenden EDR Lösungen am Markt von Kaspersky Labs.
Gerne stellen wir Ihnen weitere Informationen zum Thema EDR zur Verfügung. Sprechen Sie uns an.
