Die Untersuchung von Sicherheitsvorfällen überfordert IT-Abteilungen
Wie kann EDR in einer realen Umgebung funktionieren?
EDR kann Sicherheitslösungen als zusätzliche Schicht ergänzen. Das Hinzufügen weiterer Schichten hat jedoch nicht nur positive Folgen. EDR als weitere Schicht neben der Antivirenlösung, dem Anti-Exploit-Tool, Firewalls und allen anderen sonstigen Agents, die sich auf den Hosts befinden könnten, erhöht beispielsweise die Komplexität und den Verwaltungsaufwand. Die Prüfung von zu vielen Sicherheitswarnungen würde die überlasteten IT-Teams außerdem mit noch mehr Aufgaben überschwemmen. Dies kann dazu führen, falsche Entscheidungen zu treffen. Wer zu viele Warnungen bekommt, neigt nun einmal dazu, so manche Anwendung vorschnell zu whitelisten oder unscheinbare Warnungen zu ignorieren, die sich beim genauen Hinsehen als gefährlich entpuppen würden. Beides führt die Nutzung von EDR ad absurdum. Wie jedoch kann man EDR weiterentwickeln und sein Potenzial nutzen?
Maschinelles Lernen und Behavioral Monitoring können die Anzahl der Alerts drastisch begrenzen
Eine Stand-Alone-EDR-Lösung, die auf allen Arten von Hosts und Geräten läuft, kann sehr viele Warnmeldungen auslösen. Dies beschränkt die Nutzung der Technologie auf große Organisationen, die über das nötige Personal verfügen, um all diese Warnungen verfolgen zu können. Um die Anzahl der Warnmeldungen auf einen Bruchteil zu begrenzen, der es wert ist, weiterverfolgt zu werden, können jedoch präventive Kontrollen wie maschinelles Lernen und Behavioral Monitoring am vorderen Ende der Angriffsüberwachung hinzugefügt werden. Die wirklich relevanten Vorfälle lassen sich dann am schmalen Ende des Prozesses untersuchen. Durch diesen Trichter-Ansatz (siehe Abbildung) bleibt eine wesentlich geringere Anzahl von Vorfällen übrig, der eine manuelle Reaktion erfordert. Dieser Ansatz macht EDR nicht nur viel leichter handhabbar, sondern zieht auch die Lehre aus der ersten Welle von EDR-Lösungen, dass EDR nicht als eigenständige Lösung, sondern als Teil einer integrierten Lösung eingesetzt werden sollte.
EDR als Teil einer integrierten Lösung
IT-Teams wollen ein Höchstmaß an Sicherheit. Sie wollen aber auch den unnötigen Aufwand durch Fehlalarme oder triviale Bedrohungen reduzieren und sich nur auf das konzentrieren, was wirklich gefährlich ist. Um diese beiden Anforderungen in Einklang zu bringen, muss EDR in eine Gesamt-Lösung integriert werden, die der bewährten Formel professioneller Sicherheitslösung „Prevention, Investigation, Detection und Response“ folgt. Die Integration in eine ganzheitliche Lösung hat auch den Vorteil, dass Entscheidungen aus dem EDR-Modul die Präventionsschicht darüber lehren kann, zukünftige Auffälligkeiten selbst herauszufiltern. Das ermöglicht es IT-Teams, bei hoch entwickelten und schwer fassbaren Bedrohungen immer einen Schritt voraus zu sein, ohne jede einzelne erkannte Bedrohung manuell nachverfolgen zu müssen.
EDR, weiterentwickelt und integriert
EDR ist ein junger Ansatz, der in der Sicherheitsbranche immer mehr an Bedeutung gewinnt, da er verspricht, Bedrohungen, die nicht durch existierende Sicherheitslösungen entschärft werden können, in der Post-Breach-Phase schnell zu eliminieren. Bisherige Lösungen waren nicht effektiv, da sie eine Lawine potenzieller Bedrohungen verursachten, die die IT-Teams überforderten und zu Fehlern im Umgang mit diesen Bedrohungen führten. Um effektiv arbeiten zu können, muss EDR Teil einer integrierten Lösung sein, die die Anzahl der Warnmeldungen auf einen niedrigen Prozentsatz reduziert.
