Im anhaltenden Wettrüsten zwischen Angreifern und Verteidigern wird die Endpoint Detection and Response (EDR) weithin als bedeutender Fortschritt für die Sicherheitsteams in Unternehmen angesehen. Diese von Gartner bereits im Jahr 2013 erstmals geprägte Technologiekategorie hat einige Jahre später ihre volle Reife erreicht. Tatsächlich wurde der Einsatz von EDR-Software für alle Bundesbehörden in der „ “ Mai 2021 durch eine Präsidialverordnung (öffnet in einem neuen Tab) vorgeschrieben.
So nützlich diese Hilfsmittel auch sind, sie sind kein Allheilmittel. Nir Yosha, Technical Solutions Engineer bei Tanium, hat kürzlich in einem Gespräch erläutert, warum – und wie – die Tanium-Plattform entscheidende Funktionslücken schließen kann.
Eine explosionsartige Zunahme von Bedrohungen an Endgeräten
Der Endpunkt ist der Ort, an dem globale Unternehmen heute ihre Geschäfte tätigen. Dort sind sie zudem am ehesten der Gefahr ausgesetzt, von böswilligen Dritten ins Visier genommen zu werden, die darauf aus sind, sensible Daten zu stehlen, Geld aus verschlüsselten Systemen zu erpressen und vieles mehr.
Die Umstellung auf flächendeckendes Arbeiten im Homeoffice im vergangenen Jahr führte zu einer explosionsartigen Zunahme der Endgeräte in Unternehmen, wodurch sich die Angriffsfläche für Cyberangriffe auf Unternehmen weiter vergrößerte. Etwa 90 Prozent der von uns befragten Führungskräfte gaben an, dass sie einen sprunghaften Anstieg von Sicherheitsverletzungen verzeichneten.
All dies macht EDR für viele Führungskräfte im Bereich Cybersicherheit heutzutage zu einer Selbstverständlichkeit. Es ist jedoch auch wichtig zu verstehen, wo die Grenzen der Technologie liegen und wo möglicherweise zusätzliche Hilfsmittel erforderlich sind:
Missverständnis Nr. 1: EDR-Software ist ein hervorragendes Werkzeug für die proaktive Bedrohungssuche
EDR-Softwareprodukte sind darauf ausgelegt, verdächtiges Systemverhalten zu erkennen, Kontextinformationen bereitzustellen und böswillige Aktivitäten zu blockieren. Dies geschieht jedoch nur bei bekannter Schadsoftware (mithilfe von Signaturen) und bei verdächtigem Verhalten (mithilfe von Heuristiken). Sie sind nicht darauf ausgelegt, die In-Memory- bzw. dateilosen Angriffe sowie die „Living-off-the-Land“-Techniken zu erkennen, die von Angreifern zunehmend eingesetzt werden, um unentdeckt zu bleiben. Genau auf diese Aspekte müssen Sie sich bei der Bedrohungssuche konzentrieren.
Irrtum Nr. 2: EDR-Tools können die Arbeitsbelastung der Analysten im Security Operations Center (SOC) verringern
Es trifft zweifellos zu, dass EDR-Tools den Schutz vor bestimmten böswilligen Aktivitäten sowie deren Blockierung automatisieren können, wodurch den Analysten etwas Zeit eingespart wird. Tatsächlich führen sie jedoch nicht zu einer Verringerung des Arbeitsaufwands der SOC, sondern erhöhen ihn sogar. Warum? Denn jedes EDR-Tool generiert täglich Tausende von Warnmeldungen – Warnmeldungen, für deren Einordnung in den Kontext die Analysten weitere Tools benötigen.
Infolgedessen kann es bei einem typischen Analysten zu einer Überflutung mit Warnmeldungen bzw. zu einer Warnmeldungsmüdigkeit kommen, sodass es unmöglich ist, die Liste der Warnmeldungen bis zum Ende jedes Tages abzuarbeiten. Das bedeutet, dass einige Bedrohungen durchrutschen, während die Analysten am Ende falschen Alarmen und Sackgassen nachgehen.
Martin Fisher, Leiter der Informationssicherheit und Chief Information Security Officer am Northside Hospital im Großraum Atlanta, , berichtete gegenüber Endpoint, wie sein Team (öffnet in einem neuen Tab) unter Burnout aufgrund der ständigen Alarmmeldungen leidet.
Irrtum Nr. 3: EDR bietet Funktionen für eine umfassende Reaktion und Behebung
EDR kann bei einigen Maßnahmen zur Reaktion auf Vorfälle hilfreich sein, ist jedoch keineswegs das Mittel der Wahl. Das liegt daran, dass die meisten keine Verhaltensanalyse bieten, die dabei helfen würde, den Umfang eines laufenden Angriffs einzuschätzen. Sie stellen keine historischen Daten für Untersuchungen und Analysen zur Verfügung und erfassen nicht die Aktivitäten auf allen Hosts. Das bedeutet, dass die für die Reaktion auf Sicherheitsvorfälle zuständigen Mitarbeiter alternative Tools finden müssen, um eine Echtzeit-Ermittlung des Ausmaßes, eine Isolierung und forensische Untersuchungen durchzuführen.
Wie kann Tanium Ihnen helfen?
Sicherheitsteams sollten stattdessen darauf abzielen, ihre EDR-Fähigkeiten durch die Tanium-Plattform zu ergänzen. Mit Tanium können Kunden:
- Stellen Sie die richtigen Fragen, um komplexe böswillige Aktivitäten, die von EDR nicht erkannt werden, schnell aufzudecken
- Verschaffen Sie sich einen Überblick darüber, wie weit sich Angriffe ausgebreitet haben und ob Daten abgezogen wurden
- Helfen Sie mit, Bedrohungen in Echtzeit und in großem Maßstab zu identifizieren
- Verstehen Sie, was nach dem Vorfall geschehen ist, wie hoch der Schaden ist und wie sich die Organisation vor dem nächsten Angriff verbessern kann
Tanium und EDR arbeiten Hand in Hand, um Cyberrisiken zu minimieren und Ihr Unternehmen sicherer, geschützter und widerstandsfähiger zu machen.
Erfahren Sie mehr über „ “, die Incident-Response-Lösung von Tanium: (wird in einem neuen Tab geöffnet) und kontaktieren Sie uns, um eine Demo zu vereinbaren.
