Die Flut von Anordnungen, die darauf abzielen, die laxen Cybersicherheitspraktiken der US-Regierung zu verschärfen, hat an Tempo zugenommen. In diesem Monat wies die Biden-Regierung alle Bundesbehörden an, fast 300 Cybersicherheitslücken zu beheben, die Hacker ausnutzen können, um in staatliche Computernetzwerke einzudringen und dort Schaden anzurichten.
Es war jedoch eine frühere Anweisung, die bei Sicherheitsexperten Besorgnis auslöste. Am 8. Oktober teilte das US-Amt für Verwaltung und Haushalt (OMB) den Behörden mit, dass ihnen drei Monate zur Umsetzung mehrerer wichtiger Vorschläge zur Verfügung stünden. Dazu gehören unter anderem: Maßnahmen zur Integration von EDR-Tools (Endpoint Detection and Response) in die Netzwerke der Behörden.
Diese Instrumente sind jedoch in letzter Zeit in den Fokus von gerückt. Das liegt daran, dass sich viele Organisationen sowohl im öffentlichen als auch im privaten Sektor zu sehr auf sie verlassen und sich ihrer Grenzen nicht bewusst sind. J.R. Cunningham, Chief Security Officer bei Nuspire, einem Managed-Services-Anbieter, warnt davor, dass eine fehlerhafte Installation von EDR-Produkten oder die Annahme, deren Wirkungsbereich sei größer als er tatsächlich ist, für den Netzwerkbetrieb ebenso verheerende Folgen haben kann wie ein Cyberangriff.
Cunningham führt häufig den Fall eines Krankenhauses an, das versucht hat, ein EDR-Produkt einzuführen.
„Sie wollten das höchstmögliche Schutzniveau erreichen und haben dafür ihr gesamtes Netzwerk lahmgelegt“, sagt er. „Sie nehmen Einstellungen vor, die die Verfügbarkeit ebenso stark beeinträchtigen können wie ein Angriff.“
Tatsächlich haben Forscher kürzlich ernsthafte Zweifel an der Wirksamkeit von EDR geäußert. Im Rahmen einer Studie der „ “ an der Universität Piräus in Griechenland wurden simulierte Hackerangriffe auf 11 gängige EDR-Produkte durchgeführt, die regelmäßig von Behörden und privaten Unternehmen eingesetzt werden. Die Forscher, die ihre Ergebnisse in der Fachzeitschrift „ Juli 2021“ veröffentlichten, stellten fest, dass 50 % der simulierten Cyberangriffe an den EDR-Systemen vorbeigingen und keine Warnmeldung auslösten.
Trotz dieser Bedenken ist die Biden-Regierung bestrebt, die weit verbreitete Beliebtheit von EDRs bei privaten Unternehmen auf den öffentlichen Sektor zu übertragen, um zu zeigen, dass Regierungsbehörden Fortschritte bei der Stärkung ihrer Cyberabwehr machen. Hier erfahren Sie, warum der EDR-Ansatz allein ein Risiko darstellen kann.
Warum EDR?
Entwickler haben EDR-Tools konzipiert, um verdächtige Aktivitäten auf Endgeräten wie Laptops und PCs zu erkennen und darauf zu reagieren. Diese automatisierten Tools sind jedoch häufig darauf beschränkt, lediglich bereits bekannte Angriffstypen zu erkennen. Unternehmen installieren die Produkte in der Überzeugung, dass sie dadurch ein wesentlich breiteres Spektrum an Dienstleistungen erhalten, wie beispielsweise die Erkennung von Bedrohungen oder die Möglichkeit, ein gesamtes Unternehmensnetzwerk proaktiv zu überwachen.
“„Sie wollten das höchstmögliche Schutzniveau erreichen und haben dafür ihr gesamtes Netzwerk lahmgelegt.“J.R. Cunningham, CSO, Nuspire
Es kann schwierig sein, die Leistungsfähigkeit und Wirksamkeit eines EDR-Produkts einzuschätzen. Das liegt daran, dass die EDR-Funktionen interpretationsfähig sind. Produkte unterscheiden sich häufig hinsichtlich ihrer Wirksamkeit und ihres Verwendungszwecks. Wenn Sie einen Anbieter bitten, zu definieren, was seine EDR-Lösung eigentlich sein soll, wird er sein eigenes Produkt oft als repräsentativ für den gesamten Markt darstellen. Beratungsunternehmen und Berater sorgen für noch mehr Verwirrung, indem sie ihre eigene Terminologie und ihre eigenen Filter auf die Produktfunktionen anwenden und ihre Erkenntnisse als Tatsachen darstellen.
Matt Brown, Sicherheitsleiter beim Cloud-Anbieter und Beratungsunternehmen Involta, erklärt, dass Unternehmen oft behaupten, sie würden einen EDR-Ansatz verfolgen, obwohl sie in Wirklichkeit lediglich signaturbasierte Sicherheitsprotokolle einsetzen, die Muster wie Malware im Netzwerkverkehr erkennen. „Das war vor 20 Jahren in Ordnung“, sagt er. „Das ist nicht das, was die Menschen heute brauchen.“
Um den heutigen Angriffen auf die Lieferkette, der Ransomware „ “ sowie ausgeklügelten Phishing-Kampagnen entgegenzuwirken, benötigen Unternehmen moderne Sicherheitstools, die Cyberkriminalität an mehreren Fronten bekämpfen und potenzielle Bedrohungen proaktiv erkennen können. Und genau das bieten einfache EDR-Produkte nicht, sagen Experten.
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
„Es gibt viele übertriebene Behauptungen“ hinsichtlich der Funktionalität und der Vorteile von EDR, sagt Ben Goodman, Geschäftsführer von 4A Security & Compliance. Um dem entgegenzuwirken, kann ein neuer Ansatz, der als „ Extended Detection and Response“ (XDR) bekannt ist, möglicherweise die Lücken schließen, die EDR-Produkte hinterlassen haben. Dies erschwert jedoch auch die Aufgabe der Cybersicherheit. Infolgedessen wissen viele Unternehmen nicht, wie sie mit den Produkten umgehen sollen, und sind zunehmend überfordert. „Letztendlich schalten sie die Benachrichtigungen aus“, sagt Brown, „was den Zweck zunichte macht.“
EDR ist ein Prozess, kein Werkzeug
Viele Experten sind der Ansicht, dass EDR als flexibler Prozess – und nicht als Fertigprodukt – eingesetzt werden sollte. Unternehmen müssen zunächst die Schwächen von EDR-Produkten berücksichtigen. Häufig sind sie so konzipiert, dass sie nur bestimmte Arten von Aktivitäten auf Endgeräten erfassen. Es gibt also blinde Flecken im Netzwerk, in denen sich Angreifer verstecken können. EDR-Produkte schränken zudem häufig die von ihnen protokollierten Aktivitäten ein, um den Bandbreiten- und Speicherverbrauch zu begrenzen.
“„Ich habe einen Kunden, den ich mittlerweile ‚Neo‘ aus ‚Matrix‘ nenne, weil er schon so vielen Kugeln ausgewichen ist.“Ben Goodman, Geschäftsführer, 4A Security & Compliance
Andererseits tragen EDR- -Prozesse – und nicht Produkte – weitaus wirksamer dazu bei, die Sicherheit eines Unternehmens zu gewährleisten. Sie überwachen Endgeräte und durchsuchen gesamte Netzwerke auf der Suche nach verdächtigen Aktivitäten. Unternehmen können diese Prozesse einbinden, um bisher unbekannte Bedrohungen aufzuspüren. Zudem lassen sich Abhilfemaßnahmen – wohlgemerkt keine Produkte – an das Netzwerk eines Unternehmens anpassen. Sicherheitsteams können dann unerwünschte Prozesse beenden, Registrierungsschlüssel löschen und Dienste auf mehreren Systemen gleichzeitig deinstallieren.
Der EDR-Prozess kann weitaus mehr erkennen als EDR-Tools oder herkömmliche Antivirensoftware. „Dabei werden Verhaltensmuster untersucht“, sagt Goodman. „Was jedoch wirklich wertvoll ist, ist der Teil, der sich auf die Reaktion bezieht. „Es kann Systeme aus dem Netzwerk entfernen“ – und zwar mit einer Geschwindigkeit, die manuelle Maßnahmen niemals erreichen können, sagt er.
Nicht nur ist der Schaden durch einen Angriff eines Nationalstaates oder durch Ransomware begrenzt, sondern ein Unternehmen muss auch nicht alle Systeme herunterfahren und Stück für Stück wieder in Betrieb nehmen, was den Geschäftsbetrieb tagelang beeinträchtigen kann. „Ich habe einen Kunden, den ich mittlerweile ‚Neo‘ aus ‚ ‘ – ‚The Matrix‘ – nenne, weil er so vielen Kugeln ausgewichen ist“, sagt Goodman. „Die gesamte Situation rund um ‚ ‘ und das Arbeiten von zu Hause aus hat dazu geführt, dass der EDR-Prozess an Bedeutung gewonnen hat.“
EDR in der Praxis
Um wirksam zu sein, müssen EDR-Prozesse von erfahrenen Sicherheitsexperten konzipiert werden. Sie sollten Architekturen umfassen, die alle Sicherheitslücken abdecken können. Solche Funktionen werden von EDR-Produkten in der Regel nicht angeboten.
EDR-Prozesse gehören zudem nicht zu den Plattformen, die man einfach aktivieren und dann vergessen kann. EDR sollte auch kein eigenständiger Bestandteil der Cyberabwehr einer Organisation sein, der isoliert von anderer Sicherheitssoftware betrieben wird. EDR-Prozesse sollten stattdessen durch eine gute „ “-Cyberhygiene , Strategien wie , Bestandsaufnahme der Ressourcen , Netzwerkmanagement , Konfigurationsmanagement sowie das Patch-Management unterstützt werden. EDR ist kein Tool, das man einmal einrichtet und dann vergessen kann.
[Lesen Sie auch: Ehemaliger Verteidigungsminister – „Wir sind unser schlimmster Feind“]
„Die EDR-Technologie ist nur ein Teil des Gesamtkonzepts, das EDR ausmacht“, sagt Andrew Plato, der seit 25 Jahren als Pionier im Bereich Sicherheit tätig ist und derzeit als Geschäftsführer des Dienstleistungsunternehmens Zenaciti fungiert. „Sie erwerben ein EDR-Programm – das ist großartig. „Wenn Sie jedoch keine EDR-Praxis haben, hätten Sie es genauso gut nicht kaufen können.“
Ed Amoroso, ehemaliger Chief Information Security Officer bei AT&T und CEO des Analyseunternehmens TAG Cyber, erklärt, dass EDR-Prozesse regelmäßige Updates erfordern, um ihre Fähigkeiten zur Erkennung von Bedrohungen aufrechtzuerhalten.
In Bezug auf EDR fügt er hinzu: „Die Vorstellung, dass die Endgeräte- n über verwaltet werden müssen, bleibt bestehen.“
