10 overwegingen voordat u een beveiligingsoplossing voor Endpoint Detection & Response (EDR) koopt - deel 2

In deel één van onze blog over zaken waarmee u rekening moet houden voordat u een beveiligingstool of -oplossing voor endpoint detection and response (EDR) aanschaft, hebben we vier belangrijke factoren op een rijtje gezet:

• Agent vs. agentless monitoring
• Wat EDR-systemen niet kunnen controleren
• Een EDR in uw cloud draaien
• EDR's integreren met andere tools

In de tweede helft van deze tweedelige blogserie gaan we dieper in op aanvullende overwegingen bij het selecteren van een EDR-tool:

5. Ontvangt de EDR-software regelmatig bijgewerkte handtekeningen en modellen die zijn ontworpen om de tactieken, technieken en procedures (TTP's) van geavanceerde aanvallers te detecteren?

Bedreigingen veranderen dagelijks omdat aanvallers voortdurend werken aan het verbeteren van hun TTP's. Dit geldt ook voor de handtekeningen en modellen die worden gebruikt om de aanwezigheid van bedreigingen in een netwerk te detecteren. Het EDP-platform moet regelmatig updates krijgen, bij voorkeur met goed onderbouwde, hoogwaardige Indicators of Compromise (IoC's) en Indicators of Attack (IoA's). Met sommige producten kan het bedrijf ook zijn eigen IoC's/IoA's opnemen, die intern ontwikkeld kunnen zijn of verkregen kunnen zijn van abonnementsservices voor informatie over cyberbedreigingen.

De meeste tools maken tegenwoordig gebruik van machine learning (ML) om endpoint- en netwerkactiviteiten onder de loep te nemen op zoek naar afwijkingen die kunnen duiden op risico's en bedreigingen. ML gebruikt algoritmen, of modellen, om de gegevens te analyseren en deze modellen moeten regelmatig worden afgesteld om de meest nauwkeurige resultaten te blijven produceren bij het detecteren van anomalieën.

6. Geeft de EDR-oplossing prioriteit aan bedreigingswaarschuwingen om "vermoeidheid door waarschuwingen" te verminderen?

Een probleem dat berucht is in de markt voor cyberbeveiligingstools is de neiging om alles wat er verdacht uitziet als waarschuwing te laten verschijnen, of de verdachte activiteit nu een daadwerkelijke bedreiging is of niet. Hierdoor worden veel te veel waarschuwingen naar beveiligingsanalisten gestuurd, waardoor "waarschuwingsmoeheid" ontstaat die ertoe leidt dat veel meldingen - waarvan sommige belangrijk kunnen zijn - worden genegeerd vanwege tijdgebrek. Een effectief EDR-softwareplatform is in staat om voldoende gegevens te verzamelen en te correleren, zodat bedreigingen worden gevalideerd voordat er een waarschuwing naar menselijke onderzoekers gaat.

7. Kan uw EDR-beveiligingssoftware aangepaste detectiemodellen en/of regels voor uw IT-omgeving ondersteunen?

Er bestaat geen "one-size-fits-all" machine learning-algoritme dat voor elke mogelijke situatie is geoptimaliseerd. Aangezien elke bedrijfsomgeving anders is, zouden de modellen voor bedreigingsdetectie idealiter aangepast moeten kunnen worden aan de behoeften van elk bedrijf. Een EDR-softwareleverancier moet uitgebreide aanpassingen door kennisgebruikers en/of consultants mogelijk maken.

8. Uitbreidbaarheid: Naast detectie en incident response, welke mogelijkheden kan de EDR-beveiligingsoplossing bieden?

Wikipedia definieert uitbreidbaarheid als een software engineering en systeemontwerp principe dat toekomstige groei mogelijk maakt zonder afbreuk te doen aan bestaande systeemfuncties. Uitbreidingen kunnen plaatsvinden door nieuwe functionaliteit toe te voegen of door bestaande functionaliteit aan te passen. De uitbreidbaarheid van een EDR-systeem biedt dus een grotere waarde en stelt een bedrijf in staat om een beter rendement op zijn investering te krijgen.

Endpoint Detection & Response is een categorie beveiligingssoftwaretools die hardwareapparaten van eindgebruikers in een netwerk controleren op verdachte activiteiten en gedrag, automatisch reageren om waargenomen bedreigingen te blokkeren en forensische gegevens opslaan voor verder onderzoek. De enorme hoeveelheid informatie die een dergelijke oplossing verzamelt en opslaat, maakt het systeem rijp voor uitbreiding met vele andere mogelijkheden.

9. Kan de EDR-beveiligingssoftware de voortgang en verbeteringen in gegevensbeveiliging en -hygiëne in de loop der tijd bijhouden via rapportage en/of dashboards?

Cyberbeveiliging wordt tegenwoordig op directieniveau onder de loep genomen. Directieleden worden verantwoordelijk gehouden voor inbreuken op de beveiliging en daarom willen ze een grondig inzicht in het beveiligingsbeleid van hun onderneming. Hoewel een beoordeling op een bepaald moment waardevol kan zijn, zijn leidinggevenden meer geïnteresseerd in een trend over een langere periode. Ze vragen zich af of de beveiliging verbetert of juist achteruitgaat. Een goede EDR-tool levert rapporten aan het management en/of een dashboard dat de voortgang in de tijd bijhoudt en laat zien hoe de gegevensbeveiliging verbetert.

10. Prijs-Hoeveel kost de totale EDR-beveiligingsoplossing?

De prijs kan sterk verschillen van leverancier tot leverancier en van klant tot klant. Oplossingen worden vaak geprijsd op basis van het aantal eindpunten dat wordt bewaakt. Volgens een adviesbureau zijn sommige EDR-licenties inclusief cloudhosting, andere niet. Budget $5-10/endpoint per jaar als hosting niet is inbegrepen; tot $30 per seat als hosting is inbegrepen.

Natuurlijk is de aankoopprijs slechts één factor; kopers moeten zich ervan bewust zijn dat om de volledige waarde uit een EDR-oplossing te halen waarschijnlijk speciale experts en extra investeringen nodig zijn. De onderneming zal mogelijk bedreigingsonderzoekers, bedreigingsjagers, datawetenschappers (om detectiemodellen af te stemmen), incidentresponders, applicatieontwikkelaars (om integraties en automatisering te bouwen) en IT-operationeel personeel in dienst moeten nemen.

Herinner de eerdere opmerkingen over de noodzaak om dreigingsdetectiemodellen aan te passen om het hoogste niveau van nauwkeurigheid te bereiken. Of de onderneming nu mensen in dienst heeft om dit te doen, consultants inhuurt of de oplossing uitbesteedt aan een MSP, enige afstemming en optimalisatie zal ongetwijfeld bijdragen aan de totale kosten.