Vulnerability Management

Was ist XDR?

Mit XDR werden isolierte Sicherheitstools koordiniert und ihr Mehrwert gesteigert, da die Sicherheitsanalyse, die Untersuchung und die Behebung in einer konsolidierten Konsole einheitlich zusammengefasst und optimiert werden. Folglich trägt XDR zur erheblichen Verbesserung der Einblicke in Bedrohungen, Beschleunigung von Sicherheitsabläufen und Senkung der Gesamtbetriebskosten bei. Zudem wird damit die ständige Belastung der Sicherheitsteams verringert.

XDR, EDR und MDR im Vergleich

Lösungen für endpunktbasierte Detektion und Reaktion (EDR) überwachen von Endbenutzern verwendete Geräte wie Desktops, Laptops, Tablets und Smartphones auf Bedrohungen, die von Virenschutz-Software nicht erkannt werden. Bei solchen hochentwickelten hartnäckigen Bedrohungen (APT) werden häufig Techniken ohne Malware-Komponenten eingesetzt, um Zugriff auf ein Netzwerk zu erlangen. Eine EDR-Lösung erfasst Informationen mithilfe von Software-Agenten, die auf Endgeräten installiert sind. Diese Informationen werden zur Analyse an ein zentrales Repository gesendet. Dabei werden unter anderem Abfragen, Verhaltensweisen und Ereignisse gespeichert, die vom Sicherheitsteam zur Erkennung und Untersuchung ungewöhnlicher Ereignisse herangezogen werden. EDR ist auch bei der Ermittlung der Ursache von Ereignissen hilfreich.

Dies geht jedoch immer noch mit einem hohen Zeitaufwand einher – und selbst wenn das Unternehmen das erforderliche Personalbudget hat, gibt es einfach nicht genügend Cybersicherheitsexperten, die eingestellt werden könnten. Managed Detection and Response (MDR) ist ein Verfahren zur verwalteten Bedrohungserkennung und Reaktion und wurde entwickelt, um diese Lücke zu schließen.

Unterschiedliche MDR-Anbieter verwenden dabei verschiedenste Tools. Von diesen Tools hängt es ab, wie viele Angriffe sie erkennen und wie gut sie auf diese reagieren können. Zum Instrumentarium eines typischen MDR-Anbieters gehören das Sicherheitsinformations- und Ereignismanagement (SIEM), eine NTA-Lösung zur Analyse von Netzwerk-Datenverkehr, eine Endgeräteschutz-Plattform (EPP) und ein Eindringungserkennungssystemen (IDS).

Wünschen Sie eine ausführlichere Erklärung? Lesen Sie unseren Leitfaden zu den Unterschieden zwischen EDR, MDR und XDR und finden Sie heraus, welche Lösung für Ihr Unternehmen am besten geeignet ist.

Wesentliche Grundsätze von XDR

Damit XDR die Erwartungen an eine bessere, optimierte Erkennung, Untersuchung, Analyse und Reaktion erfüllen kann, muss die Plattform folgende Merkmale bieten:

1. Native Endgeräte-Transparenz und nativen Endgeräteschutz

Mit XDR können Sicherheitsteams die Transparenz sowie Erkennungs- und Reaktionsmaßnahmen einfacher über das jeweilige Endgerät hinaus erweitern und auf diese Weise Kompromittierungen stoppen. XDR ist eine Erweiterung von EDR; für „echtes“ XDR muss das Endgerät als Basis bestehen bleiben und es muss darauf aufgebaut werden.

2. Bedrohungsorientierte Ereignisanalyse und -verwaltung

Der „X-Faktor“ bei XDR ist die bedrohungszentrierte Ausrichtung. Hierdurch werden die Daten vereinheitlicht und die Reaktion wird optimiert.

3. Breitgefächerte Telemetrie über mehrere Domänen hinweg

Der Nutzen von XDR basiert darauf, dass zusätzliche IT- und Sicherheitstelemetrie kontextbezogene Erkenntnisse liefern kann. Echtes XDR hängt nicht davon ab, ob ein Tool bestimmte Technologien umfasst. Wichtiger ist die Integration einer großen, breit gefächerten Auswahl an Systemen und Anwendungen, um umfassendere Kontexteinordnung und Korrelation zu gewährleisten. Hier seien unter anderem Netzwerkanalyse und -transparenz (NAV), NGFW, E-Mail-Sicherheit, Identitäts- und Zugriffsverwaltung (IAM), Plattformen zum Cloud-Workload-Schutz (CWPP), CASB/SW und DLP genannt.

4. Speziell für effiziente Datenerfassung, -korrelation und -suche entwickelte Ontologien

Präzise definierte Schemata für den Datenaustausch mit zusätzlichen IT-Sicherheitssystemen sind entscheidend. Nur so lässt sich sicherstellen, dass die Anreicherung und Korrelation in einer konsistenten und umfassenden Form stattfindet, bei der wichtige Ziele und Ergebnisse berücksichtigt werden.

5. Erkennungsmodell mit Priorisierung der Datengenauigkeit

Sicherheitsteams sind schon jetzt von den Datenmengen überlastet – und XDR hat das Potenzial, dieses Datenvolumen noch einmal enorm zu erhöhen. Wenn der Schwerpunkt auf Genauigkeit und Erkennungsqualität liegt, vermeiden Sicherheitsteams eine Flut von False Positives und stellen sicher, dass XDR-Ereignisse und -Untersuchungen relevant und effizient sind.

6. Orchestrierung, Eindämmung und Reaktion mit mehreren Tools

Sobald Bedrohungen erkannt werden, stellt XDR den Sicherheitsteams integrierte Workflows zur Verfügung, mit deren Hilfe sie schnell und oft automatisiert Maßnahmen zur Eindämmung und Beseitigung der Bedrohung ergreifen können.

7. KI und Machine Learning mit kontinuierlicher Suche nach neuen Unbekannten

Zur Suche nach bislang verborgenen Bedrohungen werden erweiterte Analysefunktionen angewendet, zum Beispiel in Form von KI und ML. Dies geschieht oft durch Aggregation und Einordnung mehrerer getrennter, schwächerer Signale aus unterschiedlichen Domänen.

Sicherheitsvorteile durch XDR

Ältere Lösungen zur Bedrohungserkennung legen den Schwerpunkt auf jeweils eine Schicht. So werden EDR-Lösungen nur auf Endgeräten und NAT-Lösungen nur für Netzwerk-Datenverkehr ausgeführt. Für Unternehmen bedeutet dies, dass sie mehrere Sicherheitsprodukte erwerben müssen, um selbst für Sicherheit auf den verschiedenen Schichten zu sorgen. Dies wiederum führt zu einem komplexen Sicherheits-Stack, der einerseits zu viele Warnmeldungen generiert, andererseits aber zu wenig Kontext liefert.

Selbst wenn Unternehmen sehr viel Geld investieren, werden sie unter Umständen feststellen, dass gerade ihre Abwehrmechanismen zu ihrem Nachteil gearbeitet haben. Je komplizierter die Sicherheitssilos sind, desto größer ist die Wahrscheinlichkeit, dass eine Sicherheitslücke entsteht und bis zu einer Kompromittierung unbemerkt bleibt. Und je mehr Tools integriert werden, desto schwieriger gestaltet sich die Durchführung von Untersuchungen. Deshalb dauert die Identifizierung einer Kompromittierung bei mehrschichtigen Sicherheitsmodellen inzwischen auch länger.

Da all diese Tools verwaltet werden müssen, sind die Sicherheitsteams stärker belastet – nicht nur durch die Handhabung einer größeren Anzahl von Warnmeldungen aus den isolierten Lösungen, sondern auch durch die Verfolgung und Implementierung regelmäßiger Patches und Upgrades für die spezialisierten Produkte.

Die Auswirkungen mehrschichtiger Abwehrmechanismen aus getrennt verwalteten Produkten reichen über das Sicherheitskontrollzentrum hinaus. Beim Erwerb von Produkten zur Beseitigung spezifischer Sicherheitslücken steht die Technologie an erster Stelle – das Unternehmen und die Benutzer sind dabei nachrangig. Da ein solcher Kauf eher taktischer als strategischer Natur ist, kostet er letztendlich mehr Geld, erfordert mehr Spezialkenntnisse und steht der Skalierbarkeit und Innovation entgegen.

Die Lösung für die Probleme, die durch herkömmliche Technologie zur Erkennung und Reaktion aufgeworfenen werden, ist XDR. Dieser Ansatz ist sowohl für die heutigen hybriden Infrastrukturen und Cloud-Workloads als auch für lokale Umgebungen und eine große Anzahl von Mitarbeitern im Homeoffice ausgelegt.

XDR bietet folgende Vorteile und verbessert so die Cybersicherheit von Unternehmen:

Schnellere, zuverlässigere Erkennung

Isolierte Sicherheitstools decken nur einen Teil der Datenmenge ab. Daher sind Sicherheitsanalysten gezwungen, die Daten aus mehreren Tools manuell zu vergleichen, um sich einen Eindruck von den Aktivitäten in ihrer Infrastruktur zu verschaffen. Dies kann zu menschlichen Fehlern führen und bietet keine Möglichkeit zur Erkennung von Angreifern, die gestohlene Anmeldedaten verwenden. Darüber hinaus nimmt der manuelle Vergleich viel Zeit in Anspruch. Die Unternehmen versuchen, ihre isolierten Lösungen zu integrieren, was kein einfaches Unterfangen ist und nicht immer wie erwartet funktioniert.

XDR bietet detaillierte Einblicke, da es schichtübergreifend angewendet wird und Daten aus E-Mails, Cloud-Workloads und Netzwerken sowie von Endgeräten und Servern erfasst und korreliert werden. Somit sind schnellere Erkennungen und fundiertere Reaktionen möglich. Da die Angriffswege rekonstruiert werden können, lässt sich ermitteln, an welchem Punkt in der Infrastruktur die Angreifer sich derzeit befinden und welche Assets sie möglicherweise kompromittiert haben. Anhand dieser Informationen können die Auswirkungen von Angriffen minimiert und behoben werden. Zudem ermöglichen sie bessere Entscheidungen im Hinblick auf Sicherheitsverbesserungen.

Vereinfachte Reaktion

Setzen Sie Erkenntnisse in koordinierten Maßnahmen um. Geben Sie Sicherheitsteams die Möglichkeit, mehrstufige Workflows für Reaktionen auf mehreren Plattformen zu entwickeln und zu automatisieren, mit denen diese punktgenaue, umfassende Behebungsmaßnahmen durchführen können.

Erstklassiges Ökosystem

XDR-Komplettmodelle können einfach nicht halten, was sie versprechen. Für echtes und umfassendes XDR müssen sich Sicherheitsteams auf Erkenntnisse aus einer Vielzahl von IT-Systemen und Netzwerken stützen.

Effiziente Sicherheitsprozesse

Zur Priorisierung von Bedrohungen wird bei XDR künstliche Intelligenz mit umfassenden Analysen kombiniert. Als unerheblich eingestufte Anomalien werden noch vor der Sichtung durch einen Analysten aus den Warnmeldungen aussortiert. Der Analyst kann sich somit auf das Wesentliche konzentrieren und die priorisierten Bedrohungen sind in einen Kontext eingeordnet, um eine schnellere und genauere manuelle Analyse zu ermöglichen.

Geringere Gesamtbetriebskosten

Abgesehen davon, dass XDR mehrere Tools (und daher auch mehrere Rechnungen) ersetzen kann, senkt die effizientere Nutzung von SOC-Ressourcen die Gesamtbetriebskosten erheblich, da die Verwaltung weniger Zeit in Anspruch nimmt und Untersuchungen schneller abgeschlossen werden können. Und da XDR eine integrierte Plattform ist, muss sie nicht in mehrere Einzellösungen integriert werden.

XDR-Anwendungsszenarien

Funktionsweise von XDR

Angreifer wissen, wo sie in Sicherheitssilos nach Lücken zu suchen haben. Wenn sie eine Möglichkeit finden, zwischen den isolierten Produkten hindurch in ein Netzwerk einzudringen, können sie dort über längere Zeit verweilen, sich lateral movement, Nutzdaten erfassen und mehr darüber in Erfahrung bringen, wie sie die Abwehrfunktionen des Netzwerks bei einem zukünftigen Angriff umgehen können.

Mithilfe von XDR werden Daten durch schichtübergreifendes Sweeping erfasst, in einen Data Lake eingespeist, sterilisiert und mit der Angriffsfläche korreliert, über die die Angreifer eingedrungen sind. Die Daten werden über eine einheitliche zentrale Benutzeroberfläche zentralisiert, normalisiert und abrufbar gemacht.

Endgeräte – der Dreh- und Angelpunkt

Ohne Endgerät ist XDR, die erweiterte Erkennung und Reaktion, bedeutungslos. In diesem Fall gibt es nämlich nichts, von dem aus eine „Erweiterung“ erfolgen könnte. Alle XDR-Prozesse – darunter Datenerfassung, Korrelation, Untersuchung und Behebung – sind durch die entsprechenden Ereignisse auf Endgeräten und ihre Beziehung zu ihnen verankert.

XDR-Schutz für Endgeräte

Mit XDR lässt sich herausfinden, was auf einem Endgerät geschehen ist, woher eine Bedrohung stammt und welchen Weg sie genommen hat. Anschließend kann die Bedrohung isoliert werden. Ferner lassen sich die durch sie gestarteten Prozesse stoppen und die beeinträchtigten Dateien wiederherstellen oder löschen.

XDR schützt das gesamte Sicherheitsökosystem

Schutz über Endgeräte hinaus und Integration zentraler Schwerpunkte für das gesamte XDR-Spektrum:

• E-Mail-Sicherheit
• Netzwerkanalyse und -transparenz (NAV)
• Identitäts- und Zugriffsverwaltung (IAM)
• Bedrohungs- und Schwachstellenverwaltung
• Cloud-Sicherheit
• OT- und IoT-Sicherheit

XDR-Schutz für E-Mails

XDR ermöglicht die Erkennung von E-Mail-Bedrohungen und die Identifizierung kompromittierter Konten. Mit XDR können auch Angriffsmuster erkannt werden, beispielsweise welche Benutzer häufig angegriffen werden, wer den Fehler gemacht hat, durch den die Angreifer Zugriff erlangt haben, und wer die Phishing-E-Mail erhalten hat. Außerdem lassen sich E-Mails unter Quarantäne stellen, Konten zurücksetzen und Absender blockieren.

XDR-Schutz für Netzwerke

Mithilfe von XDR können problematische Verhaltensweisen im gesamten Netzwerk erkannt und Details offengelegt werden, beispielsweise wie die Bedrohung kommuniziert und welchen Weg sie nimmt. Ereignisse lassen sich filtern, um die Identifizierung von Schwachstellen zu vereinfachen und Sicherheitsteams die nötigen Erkenntnisse zu Quelle und Umfang des Angriffs bereitzustellen, damit sie schneller reagieren können.

XDR-Schutz für Cloud-Server und Workloads

Mit XDR können Bedrohungen isoliert werden, die darauf ausgelegt sind, Server, Container und Cloud-Workloads zu kompromittieren. Auch ihr Einfallstor lässt sich bestimmen. Zudem können die Auswirkungen der Bedrohungen auf die Workloads untersucht und in Erfahrung gebracht werden, wie sie sich im gesamten Netzwerk verbreiten. Mithilfe von XDR lassen sich Prozesse stoppen, die zur Weiterverbreitung der Bedrohungen beitragen. Dies ist wichtig, um Datenverluste im großen Stil oder die Unterbrechung wichtiger Vorgänge in einer Hybrid- oder Cloud-Umgebung zu vermeiden, die aus zahlreichen Verbindungspunkten besteht.

Funktionen einer XDR-Plattform

Bei der Evaluierung einer XDR-Lösung sollten Sie Ihr Augenmerk auf die folgenden Funktionen legen, um den größtmöglichen Nutzen aus Ihrer Investition zu ziehen:

XDR Ressourcen

• Artikel: XDR vs. SIEM vs. SOAR
• Artikel: Was ist Open XDR?
• Bericht: “Adapt or Die: XDR is on a Collision Course with SIEM and SOAR”
• Bericht: The Forrester New Wave™: Extended Detection And Response (XDR) Providers, Q4 2021