Der Hype um XDR

XDR, Extended Detection and Response, ist die Weiterentwicklung von EDR. Wie der Name bereits sagt, geht es bei EDR, Endpoint Detection and Response, um den Endpunkt. Auf diesem und den Servern wird ein Agent installiert, der alle relevanten Vorgänge überwacht. Dazu gehören neben Zugriffen auf das Filesystem und die Registry auch Netzwerkaktivitäten und Benutzerinteraktionen. Die Vorgänge werden protokolliert und anschließend an das zentrale Management gesendet. Dort werden die Daten korreliert. Zur Erkennung von Anomalien in den Aktivitäten kommt meistens Machine Learning (ML) zum Einsatz. Fällt dem Administrator eine Ungereimtheit in den Daten auf, kann er mit der Response beginnen. Die erste Maßnahme ist meistens, dass er den Endpunkt in Quarantäne versetzt und dann mit einer detaillierten Analyse der Geräts beginnt.

XDR soll eine schnellere, tiefere und effektivere Erkennung und Reaktion auf Bedrohungen ermöglichen als EDR, da es Daten aus einem breiteren Spektrum von Quellen sammelt. Dazu gehören neben Mobiltelefonen und IoT-Geräten auch Container und Cloud-native Anwendungen. „XDR geht über den Endpunkt hinaus und trifft Entscheidungen auf der Grundlage von Daten aus mehreren Produkten“, erklärt Roland Stritt, Senior Channel Director EMEA bei SentinelOne. „Es kann Aktionen auf dem gesamten Stack ergreifen, auf E-Mail, Netzwerk, Identität und darüber hinaus.“ Mittels Künstlicher Intelligenz und Automatisierung verkürzt XDR die Verweildauer von Angreifern im Netzwerk oder auf dem Client und beschleunigt die Beseitigung.

Wie eine Studie von FireEye zeigt, ist XDR „eine aufstrebende Technologie, in die Unternehmen investieren, um die Leistung ihres SOC zu verbessern.“ Im Jahr 2020 beabsichtigten die Unternehmen im Schnitt 274.000 Euro für XDR-Lösungen auszugeben. Für SIEM-Systeme hatten sie mit circa 150.600 Euro gerechnet. Doch wie unterscheidet sich XDR von einem SIEM-System, das ebenfalls im Security Operations Center Verwendung findet?

Beide Tools sammeln Daten aus mehreren Quellen. Trotzdem haben sie laut SentinelOne fast nichts gemeinsam. „Im Gegensatz zu einer XDR-Plattform kann ein SIEM weder aussagekräftige Trends erkennen noch automatisierte Erkennungs- oder Reaktionsfunktionen bereitstellen. Um nützlich zu sein, erfordert ein SIEM außerdem viel manuelle Untersuchung und Analyse“, heißt es in einem Blogbeitrag des Herstellers. Christian Bohr, Head of Managed Services bei Controlware, stimmt weitestgehend zu. Laut ihm liefert ein SIEM-System zwar Informationen, aber keine Analyseleistung dazu. Sollten Unternehmen bereits in ein SIEM investiert haben, müssen diese von XDR jedoch nicht überflüssig gemacht werden. Die Informationen des SIEM können in die XDR-Plattform einfließen und damit analysiert werden.