Siegeszug von EDR, XDR und WAF Sind Antivirus und Firewall jetzt wirklich out?

Anbieter zum Thema

ALE Deutschland GmbH

Fsas Technologies GmbH

FAST LTA GmbH

Dieses Jahr werden dynamische Sicherheitslösungen wie EDR und XDR den traditionellen Virenschutz als Referenztechnologie für die Endpoint-Sicherheit ablösen. Und Web Application Firewalls (WAF) werden verstärkt klassische statische Firewalls ersetzen. Warum ist das so und was bedeutet das für die IT-Sicherheit in Unternehmen?

Lange Zeit waren Antiviren-Software und Firewalls die maßgeblichen Technologien für die IT-Sicherheit. Auch wenn längst andere hinzugekommen sind, so gelten diese beiden nicht nur in der öffentlichen Wahrnehmung, sondern auch im Einsatz bei vielen Unternehmen und Behörden als die Referenztechnologien. Dynamische Lösungen wie Endpoint Detection and Response (EDR) und Extended Detection and Response (XDR) machen herkömmliche Antiviren-Software indes zunehmend überflüssig. Sie sind besser geeignet, um moderne Cyber-Bedrohungen zu erkennen und darauf zu reagieren. Zudem bieten sie Funktionen, die weit über die herkömmlicher Antiviren-Systeme hinausgehen. Im Laufe des Jahres wird ein vollständiger Übergang erwartet.

Ebenso werden statische Firewalls zugunsten von Web Application Firewalls (WAF) ausgemustert, die künstliche Intelligenz nutzen, um zu lernen und sich dynamisch anzupassen. WAFs sind zwar bereits in einigen Produkten verfügbar, sie sind aber noch nicht auf breiter Basis installiert. Hier sind ebenfalls große Fortschritte hin zu intelligenteren, anpassungsfähigeren Technologien in der Cybersicherheit zu erwarten.

SIEM vs. XDR

Ist SIEM wirklich tot?

Dynamische Lösungen sind im Vorteil

Warum aber verliert Antivirus-Technologie ausgerechnet jetzt stark an Bedeutung? Der erste Grund ist die Notwendigkeit, flexibler zu agieren. Antivirenprogramme arbeiten seit jeher statisch, indem sie Signaturen zur Erkennung von Malware nutzen. Diese Methode erfordert ständige Updates der Signaturdatenbank, was zeitaufwendig ist und bei koordinierten weltweiten Angriffen längst nicht mehr ausreicht. Selbst bei einem täglichen Update kann das bedeuten, dass die Malware einen Tag lang unentdeckt bleibt.

Hier setzen die neueren Technologien an. Sie analysieren nicht nur den PC, sondern auch das Verhalten der Software. Sie überwachen Speicher- und CPU-Nutzung, Netzwerkzugriffe und offene Ports. Nach einer gewissen Zeit erkennt die KI, was normales Verhalten ist, und schlägt Alarm bei Abweichungen. Das heißt dann zwar nicht, dass es sich um Malware handelt, aber es erfordert Aufmerksamkeit. EDR und XDR ergänzen Antivirenprogramme durch zusätzliche Technologien. Diese agile Methodik zeigt bereits positive Auswirkungen. In den letzten zwei Jahren gab es Fälle, in denen Software mit Malware ausgeliefert wurde, die traditionelle Antivirenprogramme nicht erkannten. Verhaltensbasierte Software hat dagegen Abweichungen vom bekannten Verhalten erkannt und Alarm geschlagen.

Open-Source-Security im Praxis-Check

Wazuh im Test: Flexibles SIEM mit XDR-Funktionen

In einem solchen Fall meldet die EDR den Fehler an den EDR-Softwareanbieter. Dessen Sicherheitsexperten überprüfen genau, ob diese aktualisierte Software legitim ist oder ob es eine legitime Möglichkeit gibt, dass sie sich anders verhält. Wenn nicht, kontaktiert der EDR-Anbieter den Softwarehersteller und weist ihn auf den Fehler hin. Früher arbeiteten Antivirenprogramme isoliert mit bekannten Signaturen. EDR und XDR erkennen auch ungewöhnliches Verhalten. Diese Entwicklung wird weitgehend durch KI ermöglicht, die nun verstärkt in die Lösungen integriert wird. Dieses Jahr steigen viele Unternehmen auf EDR und XDR um.

Gesetze geben weltweit den Takt vor

Verantwortlich dafür, dass es gerade dieses Jahr zu einem solchen Wandel kommt, sind aber globale rechtliche Rahmensetzungen. Sie bringen Unternehmen in Zugzwang. Regulierungen wie DORA für Banken und Versicherungen sowie Cybersicherheitsgesetze wie NIS2 zwingen Unternehmen im Allgemeinen, auf EDR und XDR umzusteigen. Die Wahl zwischen alter und neuer Technologie ist klar: Die neue wird bevorzugt. Der Markt für Endpoint Detection and Response Tools wird durch diese Verordnungen eine gehörigen Schub bekommen.

Grundsätzlich löst ein verändertes Marktumfeld den Bedarf bei Unternehmen aus – die Regulierung lässt ihnen einfach keine Wahl. Unternehmen müssen nachweisen, dass sie die vom Gesetzgeber angeordneten Sicherheitsmaßnahmen ergriffen haben, um hohe Geldstrafen plus rechtliche Schritte gegen den Geschäftsführer zu vermeiden.

Weckruf für Unternehmen

NIS-2 – Nicht warten, machen!

Warum WAFs – jetzt?

Warum aber verlieren gerade jetzt traditionelle Firewalls an Bedeutung? Das liegt ganz entscheidend an der Hype-Technologie der letzten drei Jahre: KI. Sie ist in diesem Bereich so weit etabliert, dass sie immer öfter in WAFs integriert wird – und damit traditionelle Firewalls endgültig aussticht. Traditionelle Firewalls arbeiten statisch mit festen Regeln. WAFs hingegen sind dynamisch und effektiver, da sie KI zur Analyse des Datenverkehrs nutzen.

Wenn man eine KI in die WAF integriert, muss man den Datenverkehr nicht mehr danach analysieren, welcher legitim und welcher nicht legitim ist, sondern kann sich auf die KI verlassen, die diese Arbeit für einen erledigt. Man muss sich also nicht durch Tausende von Protokollzeilen durcharbeiten, sondern hat dafür nun eine KI, die das nahezu in Echtzeit erledigt.

Die KI erstellt Verhaltenskarten mit für diese Anwendungen und für die Benutzer normalen Aktivitäten. Diese Karten können sich dynamisch weiterentwickeln. Ähnlich wie bei EDR- oder XDR-Lösungen passen sich die Verhaltenskarten an Veränderungen im Netzverkehr an und können Anomalien aufdecken und einen Alarm auslösen. Im SOC können Sicherheitsteam viel schneller und effizienter darauf reagieren, denn die kleinteilige Analyse der Logs übernimmt die KI.

Technische und organisatorische Sicherheitsmaßnahmen

Diese Security-Basics sind für Unternehmen ein Muss

Mit einer WAF lässt sich dank Deep Packet Inspection viel einfacher das Verhalten des Datenverkehrs in Bezug auf die Anzahl der Bewegungen während der Protokollverhandlungen, die Größe der Pakete, die Häufigkeit des Austauschs zwischen einem Server und einem Endpunkt innerhalb des Unternehmens usw. untersuchen, ohne jedes einzelne Paket anschauen zu müssen, was eine sehr kostspielige Methode ist.

Nicht so zentral wie beim Virenschutz, spielen ebenfalls Gesetze und Vorschriften, die jetzt in Kraft getreten sind, eine Rolle. Dank des EU AI Act sind wir immer weniger im „Wilden Westen“, was den Einsatz von KI betrifft. Die Technologie ist also nicht nur ausgereift genug, um in der realen Produktion eingesetzt zu werden. Gesetze und Vorschriften unterstützen ihren Einsatz. Die Technologie ist ausgereift und durch das KI-Gesetz abgedeckt. Man geht also kein übermäßiges Risiko ein, wenn man KI einsetzt.

Über den Autor: Vincent Lomba ist Chief Product Security Officer bei Alcatel-Lucent Enterprise.

Tool-Tipp 36 Nikto

Mit Nikto Sicherheitslücken in Webservern aufdecken

(ID:50427500)