10 Überlegungen vor dem Kauf einer Endpoint Detection & Response (EDR) Sicherheitslösung - Teil 1

Unternehmen betrachten Sicherheitslösungen zur Endpunktüberwachung und -reaktion (Endpoint Detection and Response, EDR) zunehmend als entscheidende Komponente für die Gewährleistung der allgemeinen Netzwerksicherheit. Vor kurzem hat die CISA EDR als kritische Komponente für die Cybersicherheit eingestuft, doch viele Unternehmen verfügen noch immer nicht über diese Fähigkeit. EDR-Cybersicherheitstools sind darauf ausgelegt, Malware oder andere Formen böswilliger Aktivitäten auf den Endgeräten zu erkennen und zu beseitigen. Im weiteren Sinne erfassen und überwachen EDR-Tools Daten zu potenziellen Cybersicherheitsbedrohungen für das Netzwerk. Diese Daten können analysiert werden, um die Ursache von Sicherheitsproblemen zu ermitteln, und zur Unterstützung von Strategien zur Reaktion auf Vorfälle und zum Vorfallmanagement genutzt werden.

Laut KuppingerCole und Forrester umfassen EDR-Sicherheitslösungen in der Regel eine Reihe wichtiger Funktionen:

• Überwachung und Fernprotokollierung sowie Analyse des Endpunktverhaltens
• Erkennen, Priorisieren, Verfolgen und Warnen vor Kompromittierungsindikatoren (Indicators of Compromise, IOCs) und Angriffsindikatoren (Indicators of Attack, IOAs) in Echtzeit
• Interoperabilität mit anderen Sicherheitstools, einschließlich Endpunkt-Anti-Malware, Forensik, Fallmanagement, Security Incident and Event Management (SIEM) und Security Orchestration, Automation and Response (SOAR), etc.
• Ermöglicht interaktive IOC/IOA-Abfragen über alle Knotenpunkte hinweg
• Ermöglicht Abfragen in natürlicher Sprache
• Unterstützung der Aufzeichnung und Wiedergabe von Aktivitäten
• Unterstützung der Kommunikationssperre zwischen verdächtigen Knoten und Verwaltungskonsolen
• Bereitstellung von Playbooks und konfigurierbaren automatischen Antworten
• Bereitstellung von Agenten für mehrere Betriebssysteme
• Überwachung der Integrität von Betriebssystemen und anderen wichtigen Dateien

Zusätzlich zu einem starken Funktionsumfang sollten Sie bei der Entscheidung, in welche EDR-Sicherheitstools Sie investieren und die Endpunkte Ihrer IT-Umgebung schützen möchten, einige Überlegungen anstellen.

1. Agent vs. Agentless Endpoint Detection & Response und warum Sie beides brauchen

Viele EDR-Tools für Unternehmen erfordern den Einsatz eines Agenten, während andere bei der Erfassung von Endpunktdaten auf einen agentenlosen Ansatz setzen. Beide Ansätze haben ihre Vor- und Nachteile.

Ein Agent ist ein kleines Softwareprogramm, das auf jedem zu überwachenden Gerät installiert wird. Die Hauptfunktionen des Agenten bestehen darin, Daten über Benutzeraktivitäten in allen Anwendungen, Webseiten und Systembereichen zu sammeln und die gesammelten Daten über jede Sitzung zur Verarbeitung, Analyse und Speicherung an einen zentralen Server zu übertragen. Die Installation eines Agenten auf einem überwachten Gerät bietet folgende Möglichkeiten:

• Erfassen Sie umfangreiche Details zum Betriebssystem, lokalen Dateisystem, zur Hardware des Geräts und zu den angeschlossenen Geräten sowie zu allen auf dem Gerät laufenden Prozessen.
• Erfassen Sie die Benutzeraktivitäten unabhängig davon, wie sich die Benutzer mit den Servern verbinden, d. h. sowohl über die Anmeldung an der lokalen Konsole als auch über Remote-Zugriffsmethoden
• Aufzeichnung von Benutzeraktivitäten in einem lokalen Zwischenspeicher zur späteren Übertragung, wenn das Gerät offline ist oder die Netzwerkverbindung unterbrochen wurde
• Aktivieren Sie bei Bedarf interaktive Eingriffe in die Sitzung eines Benutzers, z. B. um das Gerät unter Quarantäne zu stellen, wenn ein Verdacht auf bösartige Aktivitäten besteht.

Nachteile der Verwendung einer agentenbasierten EDR-Sicherheitsplattform:

• Erfordert die Installation und Verwaltung von Agenten auf jedem überwachten Computer, System und Endpunkt
• Agenten funktionieren möglicherweise nicht auf Geräten und Computern mit nicht unterstützten Betriebssystemen
• Gäste und Besitzer von nicht verwalteten Geräten sind möglicherweise nicht damit einverstanden, dass der Agent installiert wird (in diesem Fall könnte ein auflösbarer Agent funktionieren)
• Führt zu einem Overhead bei der CPU- und RAM-Auslastung auf jedem Computer

Ein alternativer Ansatz ist die agentenlose Endpunktüberwachung und Datenerfassung. In diesem Szenario wird keine Agentensoftware auf dem Endgerät installiert. Stattdessen überwacht das EDR-Tool passiv den Datenverkehr, der in das Netzwerk gelangt und es durchläuft, während er zwischen den Client-Rechnern der Benutzer und den Servern, auf die sie zugreifen, fließt. Die Vorteile eines agentenlosen EDR sind:

• Schnellere Bereitstellung im gesamten Netzwerk, besonders hilfreich bei der Untersuchung von Cybersicherheitsvorfällen
• Benötigt keine Ressourcen auf den zu überwachenden Endpunkten
• Erfordert nicht den Aufwand für die Installation und Verwaltung von Agenten auf jedem Gerät
• Kann mit Geräten verwendet werden, die die Installation eines Agenten nicht akzeptieren können
• Kann Konfigurationsänderungen an Netzwerkgeräten, Speichersubsystemen, Hypervisoren usw. aufzeichnen, auf denen Agenten nicht installiert werden können

Das agentenlose Modell hat auch seine Nachteile:

• Erfasst keine lokalen Benutzeraktivitäten auf dem Remote-Computer oder irgendetwas über lokal laufende Prozesse, Hardwareelemente oder andere Endpunktdetails des Geräts selbst
• Verschlüsselter Datenverkehr ist schwer zu überwachen und zu analysieren
• Es können keine Daten über Endpunkte gesammelt werden, wenn diese Geräte nicht mit dem Unternehmensnetzwerk verbunden sind
• Ohne eine Präsenz auf dem Endgerät kann der "Antwort"-Teil von EDR eingeschränkt sein

Viele Unternehmen stellen fest, dass sie sowohl ein agentenbasiertes als auch ein agentenloses Modell verwenden müssen, um alle Endpunkte abzudecken und die oben genannten Schwächen der einzelnen Ansätze zu überwinden.

2. Welche Geräte oder Betriebssysteme werden von der EDR-Sicherheitslösung nicht abgedeckt?

Diese Frage bezieht sich im Allgemeinen auf die Frage nach agentenbasierten oder agentenlosen Systemen. Ein Agent muss für bestimmte Betriebssysteme verfügbar sein. Die meisten EDR-Tools bieten zumindest Unterstützung für Windows (einschließlich älterer Versionen), Mac OS und Linux. Die Frage, die man den Anbietern stellen muss, lautet: Welche Betriebssysteme werden nicht unterstützt? Leider gehören Apple iOS und Google Android oft zu den nicht unterstützten Betriebssystemen, obwohl viele Mitarbeiter ihre Smartphones und Tablets im Unternehmensnetzwerk verwenden. Wenn kein Agent für ein beliebtes Betriebssystem verfügbar ist, muss das Unternehmen auf eine andere Methode zurückgreifen, um die Aktivitäten auf nicht unterstützten Geräten zu überwachen und Daten von ihnen zu sammeln.

IoT-Geräte (Internet of Things) werden unter Umständen nicht von EDR-Sicherheitsplattformen unterstützt, da nur wenige von ihnen mit einem Standard-Betriebssystem wie macOS, Windows oder Linux arbeiten. Darüber hinaus sind einige IoT-Geräte in Bezug auf CPU und Speicher eingeschränkt und können die Installation eines EDR-Agenten nicht unterstützen. Auch hier gilt: Wenn es für ein Unternehmen wichtig ist, diese Geräte in die Erfassung und Analyse von Netzwerkdaten einzubeziehen, muss eine alternative Methode zu einem Onboard-Agenten verwendet werden.

3. Was ist mit der EDR-Sicherheit in der Cloud?

Viele EDR-Tools werden über die Cloud betrieben, sind jedoch möglicherweise nicht in der Lage, in der Cloud zu funktionieren – dabei ist das Management der Cloud-Sicherheitslage heutzutage von entscheidender Bedeutung. Für Unternehmen, die Server und Workloads in der Cloud betreiben, darunter auch Container und serverlose Workloads, ist es unter Umständen nicht möglich oder nicht praktikabel, einen Agenten auf physischen oder virtuellen Geräten in der Cloud zu installieren. Kurz gesagt: Die Cloud ist eine ganz andere Welt.

4. Lässt sich die EDR-Software leicht in andere Sicherheitssoftware in Ihrem Ökosystem integrieren, einschließlich SIEM-Plattformen und Ticketing-Systeme?

EDR-Tools sind nicht als eigenständige Tools gedacht. Es gibt viele andere Tools im Cybersecurity-Ökosystem, die die Möglichkeiten von EDR sehr gut ergänzen. Dies ermöglicht Sicherheitsmanagern ein umfassenderes Verständnis ihrer Sicherheitslage und hilft bei der Automatisierung von Reaktionen, um eine Reihe von Sicherheitsproblemen zu entschärfen. Unternehmen profitieren davon, indem sie die Zeit bis zur Erkennung optimieren, schneller auf Vorfälle reagieren und die Netzwerksicherheit verbessern können.

EDR-Sicherheitslösungen müssen mit den Tools integriert werden können, die einen Angriff protokollieren, nachverfolgen, orchestrieren und Aktionen ausführen können, um einen Angriff zu entschärfen und die Umgebung zu säubern, sobald die Bedrohung vorüber ist. Darüber hinaus verfügen viele Unternehmen über eine SIEM-Plattform (Security Incident and Event Management), die als übergreifende Sicherheitsplattform eingerichtet ist, und andere Sicherheitssysteme speisen Daten und Analysen in das SIEM ein. Eine einfache Integration mit solchen Tools ist unerlässlich. Das CSO-Magazin bezeichnet diese Integrationen als "Kraftmultiplikatoren" der EDR-Plattform.

Weitere Überlegungen zur Auswahl des besten EDR-Sicherheitstools oder der besten EDR-Lösung finden Sie im zweiten Teil dieses Blogs...