Was ist Endpoint Detection and Response (EDR)?

· Kontinuierliche Überwachung und Datenerfassung – eine EDR-Sicherheitslösung setzt zur ständigen Beobachtung und Aufzeichnung von Aktivitäten auf jedem Endpoint so genannte Agenten ein. Auf diese Weise lassen sich eine Vielzahl von Ereignissen und Verhaltensweisen nachverfolgen, und es werden detaillierte Protokolle der Aktivitäten auf den Endpoints erfasst.

· Verhaltensanalyse und Bedrohungserkennung – Mithilfe ausgefeilter Verhaltensanalysen erkennt die EDR-Software Muster in den gesammelten Daten, um ungewöhnliche Vorfälle zu erkennen. Dieses Verfahren ist bei komplexen Bedrohungen wie dateilosen Angriffe, Ransomware und Zero-Day-Exploits sehr effektiv.

· Zentrale Verwaltung und Analyse – Die Daten von den Endpoints werden in einem zentralen Kontrollzentrum aggregiert und analysiert, wobei häufig Cloud-basierte Technologien zum Einsatz kommen. Diese zentral durchgeführte Analyse hilft bei der Identifizierung von Bedrohungsmustern und bietet einen umfassenden Überblick über die Sicherheitslage.

· Automatisierte und manuelle Abhilfemaßnahmen und Priorisierung von Vorfällen – Bei der Erkennung einer Bedrohung ermöglichen EDR-Sicherheitslösungen manuelle oder automatische Abhilfemaßnahmen, wie z. B. die Isolierung von Endpoints oder das Löschen von schädlichen Dateien. Sie nehmen zudem eine Priorisierung der Warnmeldungen vor, sodass sich Sicherheitsteams auf die kritischen Vorfälle konzentrieren können. 

· Risikoanalyse und Analyse des menschlichen Verhaltens – Bei leistungsfähigen EDR-Lösungen ist die Analyse auf das menschliche Verhalten und organisatorische Risiken erweitert; dabei werden verschiedene Faktoren analysiert, um potenzielle Risiken im gesamten Netzwerk zu identifizieren und zu mindern.

· Unterstützung bei Bedrohungssuche und forensischer Analyse – Die EDR-Technologie ermöglicht eine proaktive Bedrohungssuche und forensische Analysen, indem sie detaillierte Einblicke in Aktivitäten der Endpoints sowie historische Daten bietet, die zur Mustererkennung und Verbesserung der Abwehr beitragen.

Im Laufe der Zeit sind in der Landschaft der Cybersicherheits-Tools Akronyme wie EDR, EPP, XDR und MDR entstanden, die für Außenstehende oft mehr Verwirrung als Klarheit stiften. Im Folgenden werden wir die Feinheiten der dahinter stehenden Lösungen und deren spezifische Rollen und Vorteile in ihrer heutigen Form beleuchten.  

EDR im Vergleich zu EPP

EPP steht für „Endpoint Protection Platform“. Solche Plattformen für den Endpoint-Schutz dienen als erste Verteidigungslinie gegen Cyberbedrohungen auf Endpoint-Ebene. Es handelt sich um eine integrierte Sicherheitslösung, die in der Regel Virenschutzprogramme der nächsten Generation, Anti-Malware-Software, Internet-Zugangssteuerung, Firewalls und E-Mail-Gateways umfasst. Sie wurde gegen bekannte Bedrohungen und solche mit erkennbaren Mustern von schädlichem Verhalten entwickelt. Der Schwerpunkt von EPP liegt auf der Abwehr von Bedrohungen der Endpoints.  Während EPP eher der Prävention dient, bietet EDR den Unternehmen Werkzeuge zum Erkennen von Bedrohungen nach einem erfolgten Angriff und zum Ergreifen der entsprechenden Maßnahmen. Bedrohungen, die die anfänglichen Abwehrmaßnahmen von EPP umgangen haben, können identifiziert, untersucht und eingedämmt werden. EDR-Cybersicherheitslösungen sind eine zweite Schutzebene, die den Sicherheitsanalysten Werkzeuge für die Bedrohungssuche und das Erkennen subtilerer Gefahren an die Hand gibt. Damit erhalten die Verantwortlichen Einblicke in die Art und Weise, wie es zu einer Sicherheitsverletzung gekommen ist, und können die Bewegungen der Bedrohungsakteure innerhalb des Netzwerks verfolgen. Ferner erhalten sie Mittel, um effektiv auf solche Sicherheitsvorfälle zu reagieren.

Der Unterschied zwischen EPP und EDR beginnt zu verschwimmen, da viele moderne EPP-Lösungen Endpoint Detection & Response-Funktionen wie moderne Analysen zur Bedrohungsabwehr und Analysen des Benutzerverhaltens enthalten, die auf einen ganzheitlicheren Ansatz für die Endpoint-Sicherheit abzielen.

EDR im Vergleich zu XDR und MDR

Obwohl EDR (Endpoint Detection and Response), XDR (Extended Detection and Response) und MDR (Managed Detection and Response) unterschiedliche Funktionen erfüllen, ergänzen sich diese leistungsfähigen Sicherheitslösungen gegenseitig. Sie werden als Verteidigungsebenen eingesetzt, die an die Weiterentwicklung sowohl der organisatorischen Infrastrukturen als auch des Cybersicherheitsbereichs im Allgemeinen angepasst sind.

XDR erweitert EDR durch die Integration sicherheitsrelevanter Daten aus der gesamten IT-Infrastruktur eines Unternehmens, also nicht auf Endpoints beschränkt, sondern auch aus Netzwerken, E-Mails, Anwendungen, Cloud-Diensten usw. XDR vereint Sicherheitskonsole, Telemetrie, Analysen und Abläufe in einem einzigen Unternehmenssystem. Das System führt Sicherheitsanalysen auf Unternehmensebene durch und korreliert Sicherheitsereignisse autonom. So entsteht ein umfassenderer Ansatz. XDR steigert die Effizienz und Effektivität von Security Operations Centern (SOCs) durch eine ganzheitliche Sicht auf die Bedrohungslandschaft, Automatisierung und Rationalisierung von Sicherheitsprozessen.

MDR hingegen ist ein ausgelagerter Service, bei dem der Cybersicherheitsbetrieb von externen Experten übernommen wird, die für eine kontinuierliche Überwachung und Threat Management mit leistungsfähigen Erkennungs- und Response-Technologien sorgen. Diese Services sind besonders wertvoll für Unternehmen, die ihre Cybersicherheit erweitern müssen oder nicht über ausreichende Ressourcen verfügen, um ein umfassendes SOC zu unterhalten, da dort in der Regel eine Überwachung rund um die Uhr, Bedrohungserkennung und Abhilfemaßnahmen angeboten werden.

Zusammenfassend lässt sich sagen, dass EDR-Lösungen auf die Endpoints ausgerichtet sind und detaillierte Erkenntnisse und Abhilfemaßnahmen bei Bedrohungen auf dieser Ebene bieten, während XDR- und MDR-Services den Schutz und die Unterstützung durch eine erhöhte Präsenz im gesamten digitalen Umfeld des Unternehmens bzw. durch Schutz in Form eines Managed Services erweitern.

Die Implementierung von EDR-Cybersicherheit kann die Cybersicherheitslage und die betriebliche Effizienz eines Unternehmens in vieler Hinsicht deutlich verbessern. Im Folgenden finden Sie eine Zusammenstellung von Anwendungsfällen und Beispielen aus der Praxis, die die Vielseitigkeit und den Einfluss von EDR bei der Erweiterung von Cybersicherheitsmaßnahmen und der Optimierung von Betriebsabläufen in verschiedenen Branchen zeigen.

 • Steigerung der betrieblichen Effizienz: Ein Architekturbüro steigerte seine betriebliche Effizienz durch die automatisierte Risikobewertung und die in einer einzigen Konsole zusammengefassten EDR-Verwaltungsfunktionen. In ähnlicher Weise konnte ein global agierender Batteriehersteller die Reaktionszeit bei Sicherheitsvorfällen um 50 % verkürzen, was zeigt, wie diese Lösung die Sicherheitsabläufe rationalisieren kann. 

• Verringerung des Zeitaufwands für die Administration von Sicherheitsbelangen: EDR trug zu einer 70-prozentigen Verringerung des Zeitaufwands für Sicherheitsbelange einer französischen Bildungseinrichtung bei, während ein italienischer Hersteller von Verpackungssystemen ebenfalls eine Verringerung des Zeitaufwands um 20-30 %verzeichnete.

• Eliminierung von Sicherheitsverletzungen: EDR-Lösungen haben eine starke Erfolgsbilanz bei der Abwehr von Sicherheitsverletzungen. Ein italienisches Ingenieurbüro beseitigte Sicherheitslücken und steigerte gleichzeitig die Leistung der Endpoints um 25 %. 

• Weniger Fehlalarme: Viele Einzelhändler nutzen EDR zur Verringerung der Anzahl der Fehlalarme. Hierzu gehört eines der führenden Einzelhandelsunternehmen für Motorradbekleidung in Europa, das eine Steigerung der Endpoint-Leistung um 20 % und reibungslosere Abläufe im E-Commerce und in den Ladengeschäften erzielte.

• Erhöhung der Patch-Compliance: EDR kann die Erfolgsraten von Patches erheblich verbessern, wie bei einem US-Versicherungsmakler, der eine Erhöhung der Patch-Compliance von 50 % auf 90 % erzielte, oder bei einem Hersteller von High-End-Materialien, der eine Patch-Compliance-Rate von 97 % erreichte. Ein weiteres Beispiel ist eine in Wisconsin ansässige Bank, die ihre Verteidigung gegen ausgeklügelte Malware und Spyware mit einer Patch-Compliance von 95 % verbessern konnte. 

• Bessere Einhaltung von Datenschutzbestimmungen: EDR hilft bei der Navigation durch die komplexe Landschaft der Compliance-Vorschriften. Eine Non-Profit-Organisation, die von Krebs betroffenen Menschen hilft, nutzte EDR-Tools auf ihren Endpoints, um den Schutz personenbezogener Daten zu verbessern, was zu erheblichen Zeit- und Kosteneinsparungen führte.

• Verbesserung der Endpoint-Leistung: EDR-Lösungen zeichnen sich oft durch einen geringen Ressourcenbedarf aus, was zu einer verbesserten Leistung der Benutzer-Workstations führt. Ein italienisches Fertigungsunternehmen verzeichnete während Scans eine Leistungsverbesserung von 25 %. 

Weitere relevante Fallstudien finden Sie hier.

Um das Jahr 2010 herum wurden herkömmliche Virenschutzlösungen, die sich hauptsächlich auf signaturbasierte Erkennung stützten, als unzureichend angesehen, da Angreifer Methoden entwickelt hatten, um Schadcode ohne die Installation erkennbarer Malware auszuführen, und so die herkömmlichen Abwehrmaßnahmen umgehen konnten.

Es gab dokumentenbasierte Malware mit schädlichen Skripten, die in Dokumentdateien (Excel, PDF, Word, PowerPoint usw.) eingebettet waren und oft über Phishing-Kampagnen verbreitet wurden. Dateilose Angriffe führten Prozesse im Arbeitsspeicher aus oder nutzten vertrauenswürdige Systemprozesse aus, wodurch sie für signaturbasierte Erkennungstools unsichtbar wurden. Der Exploit EternalBlue, der von Malware wie WannaCry und NotPetya verwendet wurde, wird wahrscheinlich für immer ein Eintrag im Geschichtsbuch der Cybersicherheit bleiben. Herkömmliche Virenschutzprogramme waren nur gegen bekannte Malware wirksam und konnten daher einen erheblichen Teil der neuen Bedrohungen nicht erkennen. Frühe EDR-Softwareprodukte waren komplex und konnten zu übermäßig vielen Warnmeldungen führen, sodass tiefergehende Sicherheitskenntnisse und leistungsfähigere Ressourcen erforderlich waren, um effektiv zu arbeiten.

Der Begriff „Endpoint Detection and Response“ wurde 2013 offiziell von Gartners Analyst Anton Chuvakin geprägt und wurde dann in die Terminologie der Cybersicherheit übernommen. Chuvakin sah darin eine Lösung, die einen tieferen Einblick in Systemaktivitäten bot und mit der verdächtige Aktivitäten auf Hosts und Endpoints erkannt und untersucht werden konnten.

Mit der Weiterentwicklung im Bereich der Cybersicherheit entwickeln sich auch die darin genutzten Tools weiter, und einer der wichtigsten von den Experten festgestellten Trends geht in Richtung Integration von Sicherheitsplattformen. So prognostizierte zum Beispiel Gartner im Jahr 2019 die Zusammenführung von EDR- und EPP-Ressourcen zu einheitlichen Systemen, die über eine einzige Schnittstelle verwaltet werden. Diese integrierten Lösungen bieten eine schnellere Bedrohungserkennung und automatisierte Abhilfemaßnahmen – eine bedeutende Weiterentwicklung der Praktiken und Tools für Endpoint-Sicherheit.

Ein weiterer bemerkenswerter Trend sind Cloud-basierte Lösungen, die Endpoint-Schutz, EDR, Abwehr von Bedrohungen von Mobilgeräten und integriertes Management von Sicherheitslücken bieten. Fortschrittliche EDR-Lösungen werden zur Effizienzsteigerung mit ziemlicher Sicherheit weiterhin Automatisierung, Machine Learning und KI nutzen, und es wird eine engere Integration von UEBA (User and Entity Behavior Analytics) zur Erkennung von Anomalien auf der Grundlage des Benutzerverhaltens geben. 

Ausgangspunkt für eine erfolgreiche Einführung von EDR ist es zu akzeptieren, dass Sicherheitslücken unvermeidlich sind, und dass es auf schnelle Erkennung und Abhilfemaßnahmen ankommt. Eine EDR-Lösung bietet Ihrem Unternehmen einen besseren Einblick in komplexe Bedrohungen, was wiederum ein schnelles Eingreifen ermöglicht. 

Um ein effektives Gleichgewicht zwischen herkömmlichen Sicherheitsfunktionen und EDR-Funktionen herzustellen, ist eine Integration in eine Endpoint Protection-Plattform notwendig. Und zu guter Letzt sollten Sie daran denken, dass die Wahl einer benutzerfreundlichen Lösung die Auswirkungen von Qualifikationslücken innerhalb des Cybersicherheitsteams minimiert.

Das Bereitstellen einer EDR-Cybersicherheitslösung ist mit einer Reihe von Herausforderungen und Überlegungen verbunden. Die Effektivität der Lösung sollte anhand ihrer Bedrohungserkennungsfunktionen und ihrer Abdeckung gemessen werden, wobei gleichzeitig sichergestellt werden sollte, dass die Lösung nicht für unnötige Komplexität im Unternehmen sorgt. Außerdem hat die Entscheidung zwischen einer internen Verwaltung der EDR-Software oder der Entscheidung für einen Managed Service erhebliche Auswirkungen auf die Arbeitsbelastung des Sicherheitsteams und darauf, wie gut das Unternehmen im Hinblick auf Cybersicherheit vorbereitet ist.

Die Auswahl der richtigen Lösung ist eine Entscheidung, die anhand der spezifischen Belange des Unternehmens getroffen werden sollte, wobei die Branche, die Größe, die vorhandene Sicherheitsinfrastruktur und das potenzielle Wachstum berücksichtigt werden sollten. Eine ausbaufähige Lösung, möglicherweise hin zu XDR oder MDR, ist hervorragend geeignet, um die Cybersicherheitsstrategie des Unternehmens zukunftssicher zu gestalten. Die EDR-Lösung kann proportional zum Wachstum des Unternehmens skaliert werden und sich an die neuen Herausforderungen anpassen.