10 Überlegungen vor dem Kauf einer Endpoint Detection & Response (EDR)-Sicherheitslösung - Teil 2

Im ersten Teil unseres Blogbeitrags über Aspekte, die vor dem Kauf eines EDR-Sicherheitstools (Endpoint Detection and Response) oder einer entsprechenden Lösung zu berücksichtigen sind, haben wir vier wesentliche Faktoren aufgezeigt:

• Agent vs. agentenlose Überwachung
• Was EDR-Systeme nicht überwachen können
• Ausführen eines EDR in Ihrer Cloud
• Integration von EDRs mit anderen Tools

In der zweiten Hälfte dieser zweiteiligen Blogserie werden wir weitere Überlegungen zur Auswahl eines EDR-Tools anstellen:

5. Erhält die EDR-Software regelmäßig aktualisierte Signaturen und Modelle zur Erkennung fortgeschrittener Angreifer-Taktiken, -Techniken und -Verfahren (TTPs)?

Die Bedrohungen ändern sich täglich, da die Angreifer ständig an der Verbesserung ihrer TTPs arbeiten, und das gilt auch für die Signaturen und Modelle, die zur Erkennung von Bedrohungen in einem Netzwerk verwendet werden. Die EDP-Plattform muss regelmäßig aktualisiert werden, vorzugsweise mit qualitativ hochwertigen Indikatoren für Sicherheitslücken (Indicators of Compromise, IoCs) und Angriffsindikatoren (Indicators of Attack, IoAs), die aus guten Quellen stammen. Einige Produkte ermöglichen es dem Unternehmen, auch eigene IoCs/IoAs einzubinden, die entweder intern entwickelt oder von Abonnementdiensten für Cyber-Bedrohungsdaten bezogen werden können.

Die meisten Tools verwenden heute maschinelles Lernen (ML), um Endpunkt- und Netzwerkaktivitäten auf Anomalien zu untersuchen, die auf Risiken und Bedrohungen hindeuten könnten. ML verwendet Algorithmen oder Modelle, um die Daten zu analysieren, und diese Modelle müssen häufig angepasst werden, um weiterhin möglichst genaue Ergebnisse bei der Erkennung von Anomalien zu erzielen.

6. Setzt die EDR-Lösung Prioritäten bei Bedrohungswarnungen, um die "Warnmüdigkeit" zu verringern?

Ein berüchtigtes Problem auf dem Markt für Cybersecurity-Tools ist die Tendenz, alles, was verdächtig aussieht, als Alarm zu melden - unabhängig davon, ob die verdächtige Aktivität eine tatsächliche Bedrohung darstellt oder nicht. Dadurch werden viel zu viele Warnmeldungen an Sicherheitsanalysten gesendet, was zu einer "Warnmüdigkeit" führt, die dazu führt, dass viele Meldungen - von denen einige wichtig sein könnten - aus Zeitmangel ignoriert werden. Eine effektive EDR-Softwareplattform ist in der Lage, genügend Daten zu sammeln und zu korrelieren, so dass Bedrohungen validiert werden können, bevor eine Warnung an menschliche Ermittler ausgegeben wird.

7. Unterstützt Ihre EDR-Sicherheitssoftware benutzerdefinierte Erkennungsmodelle und/oder Regeln für Ihre IT-Umgebung?

Es gibt keinen "Einheitsalgorithmus" für maschinelles Lernen, der für jede mögliche Situation optimiert ist. Da jede Unternehmensumgebung anders ist, sollten die Modelle zur Erkennung von Bedrohungen im Idealfall an die Bedürfnisse des jeweiligen Unternehmens angepasst werden können. Ein EDR-Softwareanbieter sollte eine umfassende Anpassung durch erfahrene Benutzer und/oder Berater ermöglichen.

8. Erweiterbarkeit: Welche Funktionen kann die EDR-Sicherheitslösung über die Erkennung und Reaktion auf Vorfälle hinaus bieten?

Wikipedia definiert Erweiterbarkeit als ein Prinzip der Softwareentwicklung und des Systemdesigns, das zukünftiges Wachstum ermöglicht, ohne bestehende Systemfunktionen zu beeinträchtigen. Erweiterungen können durch das Hinzufügen neuer Funktionen oder durch die Änderung bestehender Funktionen erfolgen. Somit bietet die Erweiterbarkeit eines EDR-Systems einen größeren Wert und ermöglicht es einem Unternehmen, eine bessere Rendite aus seiner Investition zu erzielen.

Endpoint Detection & Response ist eine Kategorie von Sicherheitssoftware-Tools, die Hardwaregeräte von Endbenutzern in einem Netzwerk auf eine Reihe verdächtiger Aktivitäten und Verhaltensweisen überwachen, automatisch reagieren, um erkannte Bedrohungen zu blockieren und forensische Daten für weitere Untersuchungen zu speichern. Die große Menge an Informationen, die eine solche Lösung sammelt und speichert, macht das System reif für die Erweiterung um viele andere Funktionen.

9. Kann die EDR-Sicherheitssoftware Fortschritte und Verbesserungen bei der Datensicherheit und -hygiene im Laufe der Zeit über Berichte und/oder Dashboards verfolgen?

Die Cybersicherheit wird heute auf Vorstandsebene genau unter die Lupe genommen. Führungskräfte werden für Sicherheitsverletzungen zur Verantwortung gezogen und möchten daher einen umfassenden Einblick in die Sicherheitslage ihres Unternehmens erhalten. Eine punktuelle Bewertung kann zwar wertvoll sein, aber Führungskräfte sind eher daran interessiert, einen Trend im Laufe der Zeit zu erkennen. Sie fragen, ob sich die Sicherheitslage verbessert oder verschlechtert. Ein gutes EDR-Tool bietet Berichte für Führungskräfte und/oder ein Dashboard, das den Fortschritt im Laufe der Zeit verfolgt und zeigt, wie sich die Datensicherheit verbessert.

10. Preis: Wie viel kostet die EDR-Sicherheitslösung insgesamt?

Die Preisgestaltung kann von Anbieter zu Anbieter und von Kunde zu Kunde stark variieren. Die Preise für die Lösungen richten sich oft nach der Anzahl der zu überwachenden Endpunkte. Einem Beratungsunternehmen zufolge beinhalten einige EDR-Lizenzen Cloud-Hosting, andere nicht. Planen Sie 5 bis 10 US-Dollar pro Endpunkt und Jahr ein, wenn das Hosting nicht enthalten ist; bis zu 30 US-Dollar pro Arbeitsplatz, wenn das Hosting enthalten ist.

Natürlich ist der Kaufpreis nur ein Faktor. Käufer sollten sich darüber im Klaren sein, dass die volle Nutzung einer EDR-Lösung wahrscheinlich spezielle Experten und zusätzliche Investitionen erfordert. Das Unternehmen muss möglicherweise Bedrohungsforscher, Bedrohungsjäger, Datenwissenschaftler (zur Optimierung der Erkennungsmodelle), Incident Responder, Anwendungsentwickler (zur Erstellung von Integrationen und Automatisierungen) und IT-Betriebsmitarbeiter beschäftigen.

Wie bereits erwähnt, müssen die Modelle zur Erkennung von Bedrohungen angepasst werden, um ein Höchstmaß an Genauigkeit zu erreichen. Unabhängig davon, ob das Unternehmen Mitarbeiter für diese Aufgabe hat, Berater einstellt oder die Lösung an einen MSP auslagert, werden einige Anpassungen und Optimierungen zweifelsohne die Gesamtkosten erhöhen.