Was bringt Unternehmen Extended Detection and Response (XDR)? Vor- und Nachteile von XDR

Anbieter zum Thema

Vogel IT-Medien GmbH

Arctic Wolf Networks Germany GmbH

Da Cloud-Infrastrukturen und Remote-Arbeit immer häufiger genutzt, und damit auch zunehmende Angriffsflächen geschafft werden, kann nur eine integrierte Plattform wie beispielsweise Extended Detection and Response (XDR) die nötige Transparenz und automatisierten Abwehrmaßnahmen bieten, die für alle Assets erforderlich sind.

Die IT-Security wird nicht selten mit einem Wettrüsten zwischen Angreifern und Verteidigern verglichen. Wobei die Zahl der Cyberangriffe, Hacker und offensive Tools stetig zunimmt, was jeder CISO bestätigen kann. Das bedeutet vielfach, die Angriffe waren trotz des Vorhandenseins gebrauchsüblicher Sicherheitstools erfolgreich!

Daher muss klar sein, dass wir einen ganzheitlicheren Ansatz für Erkennung und Reaktion benötigen, der unter anderem nicht nur herkömmliche Endpunkte umfasst, sondern auch die vergrößerte Angriffsfläche wie Netzwerk und Cloud. Ein solcher Ansatz wäre beispielsweise Extended Detection and Response (XDR).

Was ist XDR?

Kurz gefasst versteht man darunter ein SaaS-basiertes, anbieterspezifisches Tool zur Erkennung von Security-Bedrohungen und zur Reaktion auf Vorfälle, das mehrere IT-Security-Produkte nativ in ein zusammenhängendes IT-Security-Betriebssystem integriert. XDR besteht aus drei Schritten:

1. Schritt: Telemetrie und Datenanalyse

XDR sammelt und überwacht Daten aus mehreren Ebenen, darunter Endpunkte, Netzwerke, Server und die Cloud. Nach der Datenaggregation führt es eine Datenanalyse durch, um den Kontext von Tausenden von Warnungen aus diesen Schichten zu korrelieren. Im Anschluss dazu zeigt es eine überschaubare Anzahl von Warnungen mit hoher Priorität an, was dazu beiträgt, eine Überlastung der Security-Teams zu vermeiden.

2. Schritt: Bedrohungserkennung

XDR bietet einen umfassenden Einblick in die IT-Infrastruktur einer Organisation. Diese Sichtbarkeit ermöglicht es zudem, Baselines für „normale Aktivitäten“ innerhalb einer Umgebung zu erstellen, um Bedrohungen zu erkennen, die Software, Ports und Protokolle nutzen. Auf diese Weise untersucht XDR den Ursprung der Bedrohung und verhindert, sie auch andere Teile des Systems beeinträchtigen könnte.

3. Schritt: Response

XDR kann nicht nur Bedrohungen erkennen, sondern sie auch einzudämmen und entfernen sowie Sicherheitsrichtlinien aktualisieren, um zu verhindern, dass ein ähnlicher Vorfall erneut auftritt. Verglichen mit einigen anderen Systemen geht XDR über den Schutz der Endpunkte hinaus und reagiert auf Bedrohungen an allen Sicherheitskontrollpunkten - von der Container-Sicherheit bis hin zu Netzwerke und Server.

Abgrenzung zu EDR und SIEM

XDR steht für eine Weiterentwicklung der Erkennung und Reaktion über den herkömmlichen Punktlösungs- und Einzelvektoransatz der Endpoint Detection and Response (EDR) hinaus. Denn EDR konnte nur Bedrohungen innerhalb verwalteter Endpunkte erkennen und darauf reagieren. Dies schränkt den Umfang der erkennbaren Bedrohungen sowie die Sicht darauf ein, was überhaupt betroffen ist. Diese Beschränkungen verengen letztendlich den Spielraum für die Reaktionsfähigkeit innerhalb des Security Operations Center (SOC).

Obwohl Tools von XDR als auch des Security Information and Event Management (SIEM) Daten aus mehreren Quellen sammeln, sind sie grundsätzlich verschieden. Im Gegensatz zu einer XDR-Plattform haben SIEMs weder die Fähigkeit, aussagekräftige Trends zu erkennen, noch bieten sie automatisierte Erkennungs- oder Reaktionsfähigkeiten. Darüber hinaus verlangen SIEMs nach vielen manuellen Untersuchungen und Analysen.

Sollten Anwender bislang in SIEM-Tools investiert haben, müssen diese nicht zwangsläufig durch eine XDR-Plattform überflüssig gemacht werden. XDR bietet eine Möglichkeit, sie direkt in den Data Lake der Plattform einzuspeisen und als Rohdaten den KI- und maschinellen Lernfunktionen von XDR zur Verfügung stellen.

Vorteile einer XDR-Technologie

Wie der Name schon verrät, besteht der Hauptvorteil einer XDR-Sicherheitslösung in einer besseren Abdeckung aller vernetzten Geräte und Assets. Zu den weiteren Vorteilen gehören:

• Integrierte Überwachung verbessert die vollständige Netzwerktransparenz für das IT-Security-Team.

• Automatisierte Analysen des Netzwerkverkehrs antizipieren Hacker-Angriffe auf Workstations, Mobilgeräte, Netzwerke, Cloud- und IoT-Geräte.

• Ganzheitliche Überwachung reduziert die Zeit, um Hacker-Angriffe zu erkennen, sobald sie sich ereignen.

• Schnellere Abwehr, wenn ein Angriff erkannt wird.

• KI- und Automatisierungstools, die die Fähigkeiten des menschlichen Sicherheitspersonals optimieren.

Eine Reihe dieser Vorteile sind für die IT-Security natürlich nicht so rasant neu, aber die XDR-Lösungen vereinen sie alle für einen umfassenderen Schutz. Zuvor waren viele Komponenten wie automatisierte Überwachungs- und Minderungstools nicht zwingend in einer einzigen Lösung integriert.

Nachteile einer XDR-Technologie

Die Nachteile der Einführung einer XDR-Lösung sind in der Regel die gleichen Nachteile wie bei jeder neuen IT-Technologie. Die Nachteile der Implementierung einer XDR-Lösung könnten sein:

• Die zusätzlichen Kosten für den Kauf von Softwaretools, die Umschulung von Mitarbeitern oder die Einstellung von Fachpersonal.

• Der Zeit- und Kostenaufwand für die Planung der Implementierung einer XDR-Lösung und die Entwicklung benutzerdefinierter Integrationen.

• Die Komplexität der Verwaltung aller Sicherheits- und Regulierungsrisiken eines Unternehmens.

• Wartungskosten und langfristige Erweiterungen, um mit wechselnden Bedrohungen Schritt zu halten.

Die Anwender müssen sorgfältig prüfen, ob eine XDR-Lösung ihren Sicherheitsanforderungen entspricht und ob die Kosten für den Ersatz bestehender Maßnahmen durch ein besseres Risikomanagement und andere Einsparungen ausgeglichen werden. So kann das Upgrade eines oder mehrerer kleinerer Tools ausreichen, um nicht geminderte Risiken abzudecken.

Tipps für eine effektive XDR-Nutzung

Erstens muss die XDR-Lösung nahtlos in einem bereits existierenden Sicherheits-Stack funktionieren und native Tools mit umfangreichen APIs verwenden.

Zweitens bietet die Engine eine Out-of-the-Box-Cross-Stack-Korrelation, Prävention und Behebung.

Drittens besteht die Möglichkeit, auf dieser Engine aufzubauen, indem es Anwendern ermöglicht, ihre eigenen stapelübergreifenden benutzerdefinierten Regeln für die Erkennung und Reaktion zu schreiben.

Es ist angeraten, unausgereifte oder überstürzte Lösungen, die möglicherweise nichts anderes als zusammengeschraubte alte Werkzeuge sind, zu vermeiden. Das XDR sollte eine einzige Plattform bieten, mit der ein Anwender einfach und schnell eine umfassende Ansicht des gesamten Unternehmens erstellen kann.

Für XDR ist eine Automatisierung, die durch fortschrittliche KI und bewährte Algorithmen für maschinelles Lernen unterstützt wird, unerlässlich. Dazu sollte sich der Anwender folgende Fragen stellen: Verfügt der XDR-Anbieter über langjährige Erfahrungen in der Entwicklung modernster KI-Modelle oder ist er hauptsächlich für Legacy-Technologien bekannt? Wie einfach ist die XDR-Lösung zu erlernen, zu warten, zu konfigurieren und zu aktualisieren?

Zu den Hauptvorteilen gehört, dass XDR durch automatisierte Erkennung und Reaktion die Mitarbeiter zu einer höheren Produktivität verhilft. Darum sollte der Anwender sich im Klaren darüber sein, dass er die Arbeit der Mitarbeiter nicht einfach nur auf die Verwaltung einer komplexeren Lösung abschiebt.

(ID:48972216)