IT-Security November/Dezember 2023

IT SECURITY | 31
hungen zu erkennen und in Echtzeit halb
autonom darauf zu reagieren: Wenn eine
Bedrohung erkannt wird, blockiert
die EDR-Lösung die Ausführung des Programms
im Vorfeld manchmal via Quarantäne.
Sie unterstützt also Einsatzteams
dabei, eine weitere Ausbreitung
der Infektion zu verhindern und Nachforschungen
anzustellen. EDR- und EPP-
Lösungen sind dabei komplementär:
Wenn man eine Parallele zur physischen
Sicherheit eines Unternehmens ziehen
möchte, so sind EDR-Lösungen die Überwachungskameras.
Mit ihnen kann man
sehen, ob etwa eine Person in Ihr Firmengelände
eindringt. Aber um den Eindringling
schon am Eingang abzuwehren,
benötigt man einen Wachmann vor
Ort, das ist dann ein EPP.
Der Bedarf an Antivirenprogramme besteht
aber nach wie vor. Sie stellen eine
erste Sicherheitsebene dar: Selbst
wenn sie nicht gegen alle Cyberangriffe
wirksam sind, bieten sie dennoch
einen ersten Schutz vor weniger raffinierten
Angriffen, sorgen für die Verringerung,
gar Vermeidung von False
Positives und verbrauchen geringe Ressourcen
auf dem Computer. Eine erste
Sicherheitsebene allein reicht jedoch
nicht aus. Demnach werden in Unternehmen
des Öfteren auf demselben
Computer mehrere Sicherheitslösungen
installiert. Eine Kombination, die
sich aber nicht immer gut verträgt. Einige
Konstellationen können zu Konflikten
führen, wodurch Cyberkriminellen
eine weitere Tür geöffnet wird.
NDR, XDR, MDR
Trotz der versprochenen Autonomie solcher
Lösungen müssen diese Tools von
Experten betreut werden, wie die Entwicklung
von Angeboten für Managed
EDR oder Mini-SOCs zeigt. Neben der
Verbesserung der Erkennung müssen
Tools zum Endpunktschutz unbedingt
auch über die Fähigkeit verfügen, Vorfälle
zu erkennen und darauf zu reagieren.
Und da es immer mehr Sammelstellen
für Vorfälle gibt, müssen SOC-Analysten
Zugriff auf alle Netzwerk- und
Infrastrukturgeräte haben. So analysieren
NDR-Lösungen („Network Detection
and Response“) die TCP/IP-Pakete,
die über das Netzwerk versendet werden,
um verdächtige Aktivitäten zu erkennen,
während XDR-Plattformen („eXtended
Detection and Response“) dazu
dienen sollen, alle internen und externen
IT-Assets zusammenzuführen. Eine
XDR-Plattform bietet diesen Gesamtüberblick
als Korrelationsplattform und
trägt dazu bei, das Risiko zu mindern,
auf Vorfälle zu reagieren und sie zu beheben.
Unabhängig von Tools und Technologien
sollte man sich allerdings stets
vor Augen halten, dass Analysten weiterhin
eine zentrale Rolle spielen und
dass keine Technologie allein sensible
IT-Systeme oder Daten schützen kann.
In einer Studie der Organisation Survey
Risk Alliance gaben nur 12 Prozent
der Fachleute für Cybersicherheit an,
dass sie bis 2022 eine XDR-Lösung in
ihrer Organisation eingeführt hatten.
Die übrigen 78 Prozent sagten, dass
sie die Einführung in den nächsten 24
Monaten planten. Die Nachfrage
nach Sicherheitsfachleuten, die sich
auf die Erkennung von und die Reaktion
auf Vorfälle spezialisiert haben,
dürfte folglich in den nächsten Jahren
weiter steigen. Diese Fähigkeiten werden
dringend benötigt, um mit der
ständigen Weiterentwicklung cyberkrimineller
Vorgehensweisen Schritt zu
halten, und ihre Dienste werden für
Unternehmen wahrscheinlich leichter
zugänglich sein, wenn sie Managed
EDR oder Mini-SOCs nutzen.
Uwe Gries
www.it-daily.net | November/Dezember 2023