Wäre es nicht schön, wenn Sie all Ihre Cybersicherheitsrisiken in einen Topf werfen und eine „Black Box“ mit Tricks entwickeln könnten, um diese zu neutralisieren? Das würde das Leben so viel einfacher machen.
Für viele Unternehmen scheinen EDR-Plattformen (Endpoint Detection and Response) genau dies zu leisten. Sie bieten einen einfachen Schutz an vorderster Front, indem sie Daten von Mitarbeitergeräten und anderen Endgeräten erfassen, speichern und analysieren, um Anzeichen für eine digitale Sicherheitsverletzung aufzudecken. Das bedeutet jedoch nicht zwangsläufig, dass Ihr Netzwerk dadurch sicherer wird.
Forscher der Universität Piräus in Griechenland haben dies kürzlich unter nachgewiesen:. Im Rahmen eines Experiments führten sie simulierte Angriffe auf 11 gängige EDR-Produkte durch, die regelmäßig von Behörden und privaten Unternehmen eingesetzt werden.
Mithilfe von Spear--Phishing-Techniken und Tools zur Verbreitung von Malware sowie von Tools für die laterale Bewegung im Netzwerk einer Organisation versuchten die Forscher, vier entscheidende Fragen zu beantworten: Kann EDR den Angriff erkennen? Wo liegen die Schwachstellen? Welche Arten von Daten werden zur Generierung von Warnmeldungen verwendet? Und können Sie das allgemeine Rauschen in der Telemetrie bzw. bei der Datenerfassung reduzieren, um Bedrohungen effektiver zu erkennen?
Allzu oft war das Ergebnis ein Scheitern auf allen Ebenen. Von den 20 Angriffen, die das Team durchführte, war die Hälfte erfolgreich und löste keinen Alarm aus.
„Es ist ziemlich beunruhigend, dass es keinem der EDR-Systeme gelungen ist, alle Angriffe zu erkennen“, so das Fazit der Studie. „Genauer gesagt waren 10 Angriffe vollständig erfolgreich … und es wurde keine Warnmeldung ausgegeben; bei drei Angriffen wurde zwar eine Warnmeldung mit geringer Priorität ausgegeben, doch waren die Angriffe erfolgreich; ein Angriff war nicht erfolgreich, dennoch wurde keine Warnmeldung ausgegeben; und sechs Angriffe wurden von den EDRs erkannt und korrekt gemeldet.“
In IT-Sicherheitsteams haben EDR-Produkte an Beliebtheit gewonnen – dank ihrer einfachen Handhabung und der Überzeugung, dass die „ “ von Endgeräten die umfangreichsten Daten über potenzielle Eindringlinge liefern können. Doch so wie sich die Sicherheitsbedrohungen weiterentwickelt haben, hat sich auch die Angriffsfläche verändert. Nicht nur Laptops und Mobiltelefone sind von Angriffen betroffen. Dazu gehören lokale Server, Cloud- -Anwendungen sowie ältere Plattformen. Erschwerend kommt hinzu, dass EDRs nur bestimmte Arten verdächtiger Aktivitäten oder „bekannte“ böswillige Aktivitäten in einem Netzwerk erkennen können.
Daher können sich Behörden und Unternehmen jeder Größe nicht mehr ausschließlich auf EDR verlassen, um sich vor diesen Bedrohungen zu schützen. Sie brauchen mehr.
Wenn EDRs nicht ausreichen
Der Schlüssel liegt darin, sich bei Bedarf an neue Werkzeuge anzupassen und eine neue Denkweise anzunehmen.
„EDR ist keine Box, die man einfach aus dem Regal nimmt und einsteckt“, sagt Matt Marsden, Vizepräsident für das technische Kundenmanagement im öffentlichen Sektor bei Tanium. „EDR ist eine Kombination aus Tools, Teams und Prozessen. „Es geht um Feinsinn – darum, Bedrohungsinformationen zu verstehen und schneller zu handeln als die Angreifer.“
„: Es geht um mehr als nur Endgeräteschutz.“ Es geht um Ausreißer und Anomalien sowie darum, Abweichungen von der Norm zu erkennen.”Matt Marsden, Vizepräsident für das technische Kundenmanagement im öffentlichen Sektor bei Tanium
Dave Gruber, leitender Cybersicherheitsanalyst bei ESG, erklärt, dass Unternehmen zunehmend unter Druck stehen, IT-Sicherheitsstrategien zu entwickeln, die es ihnen ermöglichen, ein breiteres Spektrum an IT-Netzwerken und Geräten im Blick zu behalten. „Prävention wird nicht alles verhindern können“, sagt er.
Es wird erwartet, dass ein Ansatz, der als „Extended Detection and Response“ (XDR) bekannt ist, einige Lücken schließen wird. XDR ist ein integriertes Toolkit, das hybride IT-Architekturen abdeckt und es Unternehmen ermöglicht, Kontrollpunkte, Daten aus der Sicherheitstelemetrie und Betriebsanalysen in einem einzigen System zu vereinen.
Denken Sie in Prozessen, nicht nur in Produkten
Die Einführung des XDR-Ansatzes ist zwar ein Schritt in die richtige Richtung, doch ist es von entscheidender Bedeutung, ihn als eine flexible Strategie oder einen Prozess zu betrachten, der aktualisiert werden kann, und nicht als ein starres Produkt. Zudem sollte sie Tools einsetzen, die nicht nur nach Sicherheitsverletzungen überwachen, sondern auch aktiv die Netzwerke durchforsten, um herauszufinden, wo sich Eindringlinge verstecken.
„Es geht um mehr als nur den Schutz von Endgeräten“, sagt Marsden. „Dazu gehören auch die aktive oder proaktive Suche, das Aufspüren von Unstimmigkeiten sowie skalierbare Abhilfemaßnahmen.“ „Es geht um Ausreißer und Anomalien sowie darum, Abweichungen von der Norm zu erkennen.“
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
Die Bedrohungssuche ist ein wichtiges Instrument der Cybersicherheit. Dies hilft IT-Betriebsteams dabei, ihren Ansatz von reaktiver Schadensbegrenzung hin zu proaktiver Schadensverhütung zu verlagern. Dies erfordert Kreativität und Einfallsreichtum, und ohne diese sind die Risiken für Ihr Netzwerk nicht immer leicht zu erkennen. Bis eine EDR-Lösung eines Drittanbieters Sie auf eine Datenpanne hinweist oder Sie eine Lösegeldforderung von „ “ erhalten, ist der Schaden an Ihrem System möglicherweise bereits entstanden und die Kosten für die Behebung können erheblich sein.
Da immer mehr Unternehmen von der Denkweise, Cyberangriffe lediglich verhindern zu wollen, zu einem Ansatz übergehen, der auch die Suche nach Sicherheitslücken im Netzwerk und die Minderung der Auswirkungen von Angriffen umfasst, ist es von entscheidender Bedeutung, dass sie Strategien entwickeln, die anpassungsfähig sind, potenzielle Bedrohungen aufspüren, Abhilfemaßnahmen durchführen und auf Sicherheitsverletzungen überwachen.
Die griechischen Forscher schlossen ihren Bericht mit einigen weisen Ratschlägen ab. Um Cyberangriffe zu verhindern, so heißt es, sollten Unternehmen einen „ganzheitlichen Ansatz“ verfolgen, eine breite Palette an Sicherheitstools einsetzen und sich „nicht ausschließlich auf eine einzige Lösung verlassen“.
