10 overwegingen voordat u een beveiligingsoplossing voor Endpoint Detection & Response (EDR) koopt - deel 1

Steeds vaker beschouwen grote ondernemingen beveiligingsoplossingen voor endpoint detection and response (EDR) als een cruciaal onderdeel van de algehele netwerkbeveiliging. Onlangs heeft CISA EDR aangemerkt als een cruciaal onderdeel van cyberbeveiliging, maar veel bedrijven beschikken nog steeds niet over deze mogelijkheid. EDR-cyberbeveiligingstools zijn ontworpen om malware of andere vormen van kwaadaardige activiteiten op de eindpunten te detecteren en te verwijderen. Meer in het algemeen verzamelen en monitoren EDR-tools gegevens met betrekking tot potentiële cyberbeveiligingsbedreigingen voor het netwerk. Deze gegevens kunnen worden geanalyseerd om de onderliggende oorzaak van beveiligingsproblemen vast te stellen en worden gebruikt ter ondersteuning van strategieën voor incidentrespons en -beheer.

Volgens KuppingerCole en Forrester beschikken EDR-beveiligingsoplossingen doorgaans over een aantal belangrijke functies:

• Monitoren en op afstand loggen en analyseren van endpointgedrag
• Indicators of Compromise (IOC's) en Indicators of Attack (IOA's) in realtime detecteren, prioriteren, volgen en waarschuwen
• Samenwerken met andere beveiligingstools, waaronder anti-malware voor endpoints, forensisch onderzoek, casemanagement, SIEM (Security Incident and Event Management) en SOAR (Security Orchestration, Automation and Response), enz.
• Interactieve IOC/IOA-query's op alle knooppunten toestaan
• Natuurlijke taal query's toestaan
• Ondersteuning voor opnemen en afspelen van activiteiten
• Ondersteunt communicatievergrendeling tussen verdachte nodes en beheerconsoles
• Zorg voor playbooks en configureerbare geautomatiseerde reacties
• Agenten leveren voor meerdere besturingssystemen
• De integriteit van besturingssystemen en andere belangrijke bestanden bewaken

Naast een sterke set functies, zijn hier enkele overwegingen bij het beslissen in welke EDR-beveiligingstools u moet investeren en welke u moet gebruiken voor de bescherming van de endpoints van uw IT-omgeving.

1. Agent vs. Agentless Endpoint Detection & Response, en waarom u beide nodig hebt

Veel EDR-tools voor bedrijven vereisen het gebruik van een agent, terwijl andere kiezen voor een agentloze aanpak bij het verzamelen van endpointgegevens. Beide benaderingen hebben hun voor- en nadelen.

Een agent is een klein softwareprogramma dat op elk te bewaken apparaat wordt geïnstalleerd. De belangrijkste functies van de agent zijn het verzamelen van gegevens over de gebruikersactiviteit in alle toepassingen, webpagina's en systeemgebieden, en het doorsturen van de verzamelde gegevens over elke sessie naar een centrale server voor verwerking, analyse en opslag. Als er een agent op een bewaakt apparaat is geïnstalleerd, biedt dit de mogelijkheid om:

• Leg uitgebreide details vast over het besturingssysteem, het lokale bestandssysteem, de hardware van de machine en de aangesloten apparaten, evenals alle processen die op het apparaat worden uitgevoerd.
• Leg gebruikersactiviteiten vast, ongeacht de manier waarop gebruikers verbinding maken met servers, d.w.z. via zowel lokaal inloggen op de console als inloggen via toegang op afstand.
• Sla gebruikersactiviteiten op in een lokale cache voor latere verzending wanneer het apparaat offline is of de netwerkverbinding is onderbroken
• Interactief ingrijpen in een gebruikerssessie mogelijk maken wanneer dat nodig is; bijvoorbeeld om het apparaat in quarantaine te plaatsen als kwaadaardige activiteiten worden vermoed

Nadelen van het gebruik van een agentgebaseerd EDR-beveiligingsplatform:

• Vereist installatie en beheer van agents op elke bewaakte computer, systeem en eindpunt
• Agents werken mogelijk niet op apparaten en computers met niet-ondersteunde besturingssystemen
• Gasten en eigenaren van onbeheerde apparaten gaan er mogelijk niet mee akkoord dat de agent wordt geïnstalleerd (in dit geval kan een oplosbare agent werken)
• Introduceert CPU- en RAM-gebruik overhead op elke computer

Een alternatieve aanpak is om agentless endpoint monitoring en dataverzameling te doen. In dit scenario wordt er geen agentsoftware geïnstalleerd op het eindpuntapparaat. In plaats daarvan monitort de EDR-tool passief het verkeer dat het netwerk binnenkomt en passeert tussen de client machines van de gebruikers en de servers waartoe ze toegang hebben. De voordelen van een agentless EDR zijn:

• Snellere implementatie in uw netwerk, vooral handig tijdens onderzoeken naar cyberbeveiligingsincidenten
• Vereist geen bronnen op de eindpunten die worden gemonitord
• Vereist niet de overhead van het installeren en beheren van agents op elk apparaat
• Kan worden gebruikt met apparaten die de installatie van een agent niet accepteren
• Kan configuratiewijzigingen registreren van netwerkapparaten, opslagsubsystemen, hypervisors, enz. waarop geen agents kunnen worden geïnstalleerd

Er zijn ook nadelen aan het agentloze model:

• Legt geen lokale gebruikersactiviteit op de externe computer vast, of iets over lokaal draaiende processen, hardware-elementen of andere eindpuntdetails van het apparaat zelf.
• Versleuteld dataverkeer is moeilijk te controleren en analyseren
• Kan geen gegevens verzamelen over eindpunten wanneer deze apparaten niet zijn aangesloten op het bedrijfsnetwerk
• Zonder aanwezigheid op het eindpuntapparaat kan het "antwoord"-gedeelte van EDR beperkt zijn

Veel bedrijven merken dat ze zowel een agentgebaseerd als een agentloos model moeten gebruiken om alle eindpunten te dekken en de tekortkomingen van elke hierboven genoemde aanpak te overwinnen.

2. Welke apparaten of besturingssystemen worden niet gedekt door de EDR-beveiligingsoplossing?

Deze vraag gaat over het algemeen terug naar de kwestie van agentgebaseerd versus agentloos. Een agent zou beschikbaar moeten zijn voor specifieke besturingssystemen. De meeste EDR-tools bieden minimaal ondersteuning voor Windows (inclusief oudere versies), Mac OS en Linux. De vraag die aan verkopers moet worden gesteld is, welke besturingssystemen worden niet ondersteund? Helaas behoren Apple iOS en Google Android vaak tot de niet-ondersteunde besturingssystemen, ook al gebruiken veel werknemers hun smartphones en tablets op het bedrijfsnetwerk. Als er geen agent beschikbaar is voor een populair besturingssysteem, moet de organisatie terugvallen op een andere manier om de activiteit op en het verzamelen van gegevens van niet-ondersteunde apparaten te controleren.

IoT-apparaten (Internet of Things) worden mogelijk ook niet ondersteund door EDR-beveiligingsplatforms, omdat maar weinig apparaten een standaard besturingssysteem draaien, zoals macOS, Windows of Linux. Bovendien zijn sommige IoT-apparaten beperkt in CPU en geheugen en kunnen ze de installatie van een EDR-agent niet ondersteunen. Nogmaals, als het belangrijk is voor een bedrijf om deze apparaten op te nemen in hun netwerkgegevensverzameling en -analyse, moet een alternatieve methode voor een onboard agent worden gebruikt.

3. Hoe zit het met EDR-beveiliging in de cloud?

Veel EDR-tools werken vanuit de cloud, maar zijn mogelijk niet in staat om in de cloud te functioneren – terwijl het beheer van de beveiligingsstatus in de cloud tegenwoordig van cruciaal belang is. Voor bedrijven die servers en workloads in de cloud hebben, waaronder containers en serverloze workloads, is het wellicht niet mogelijk of praktisch om een agent op fysieke of virtuele apparaten in de cloud te installeren. Kortom, de cloud is een heel ander verhaal.

4. Is de EDR-software gemakkelijk te integreren met andere beveiligingssoftware in uw ecosysteem, inclusief SIEM-platforms en ticketingsystemen?

EDR-tools zijn niet bedoeld als op zichzelf staande tools. Er zijn veel andere tools in het cyberbeveiligingsecosysteem die zeer complementair zijn aan wat EDR ter tafel brengt. Dit stelt beveiligingsmanagers in staat om een breder inzicht te krijgen in hun beveiligingsstatus en helpt bij het automatiseren van reacties om een reeks beveiligingsproblemen te beperken. Ondernemingen profiteren hiervan door de tijd tot inzicht te optimaliseren, sneller te reageren op incidenten en een betere netwerkbeveiliging te realiseren.

EDR-beveiligingsoplossingen moeten kunnen integreren met het soort tools dat kan loggen, traceren, orkestreren en acties kan uitvoeren om een aanval te beperken en de omgeving schoon te maken zodra de dreiging voorbij is. Bovendien hebben veel ondernemingen een SIEM-platform (Security Incident and Event Management) dat is opgezet als overkoepelend beveiligingsplatform, en andere beveiligingssystemen leveren gegevens en analyses aan het SIEM. Eenvoudige integratie met dergelijke tools is essentieel. CSO magazine noemt deze integraties "krachtvermeerderaars" van het EDR-platform.

Kom terug voor onze andere overwegingen voor het selecteren van de beste EDR-beveiligingstool of -oplossing in deel twee van deze blog...