Definition Extended Detection and Response Was ist XDR?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Extended Detection and Response ist ein Sicherheitskonzept zur erweiterten Erkennung und Abwehr von Sicherheitsbedrohungen über die komplette IT-Infrastruktur eines Unternehmens hinweg. Im Gegensatz zu EDR konzentriert sich XDR nicht nur auf Endgeräte, sondern integriert auch Server, Netzwerke, Anwendungen und Cloud-Services in die Erkennung und Abwehr.

Die erweiterte Erkennung und Reaktion auf Cybergefahren – Extended Detection and Response, abgekürzt XDR – ist ein noch recht junges Sicherheitskonzept. Der Begriff wurde im Jahr 2018 unter anderem vom US-amerikanischen Unternehmen Palo Alto Networks und Gartner-Analysten geprägt. Mittlerweile existieren einige Produkte, die dieses Sicherheitskonzept umsetzen.

Wofür steht XDR?

Die deutsche Übersetzung von Extended Detection and Response lautet „erweiterte Erkennung Reaktion“. XDR-Lösungen integrieren alle IT-Schichten, -Anwendungen und -Geräte wie Server, Netzwerke, Applikationen und Cloud-Services in ein einheitliches, transparentes Sicherheitsmanagement. Die Sicherheit der IT-Infrastruktur wird nicht mehr nur in Teilbereichen, sondern ganzheitlich betrachtet. Zudem sammeln, korrelieren und analysieren die Tools Daten der einzelnen Komponenten, Geräte und Cloud Workloads, die auch aus Security Operation Centern stammen können, und nutzen die erhaltenen Informationen für die automatisierte oder manuelle Maßnahmen zur Gefahrenabwehr.

XDR ist kein rein reaktives Konzept, sondern kann auch proaktiv handeln. Dem Sicherheitspersonal werden Security Dashboards für einen schnellen Überblick über die eigene Sicherheits- und Gefahrenlage zur Verfügung gestellt. Ziel von Extended Detection and Response ist es, für ein hohes Sicherheitsniveau der IT-Infrastruktur zu sorgen und Schäden durch Datenschutzverletzungen, Datenverlust und andere Cyber-Gefahren zu verhindern.

Vorteile von XDR-Tools

Durch die Einbeziehungen aller Systeme, Komponenten und Layer der IT-Infrastruktur erhöht XDR die Sichtbarkeit und den Kontext möglicher Gefahren der Cybersicherheit. Die Sicht bleibt nicht auf Teilbereiche beschränkt und es entsteht ein umfassendes Bild der Sicherheitslage. Ereignisse lassen sich korrelieren, um mit priorisierten Maßnahmen schneller darauf zu reagieren. Dank der ganzheitlichen Sicht verbessern sich zudem die Möglichkeiten, proaktiv und automatisiert zu reagieren. Die Verantwortlichen für die IT-Sicherheit arbeiten effizienter und zielgerichteter. Das Sicherheitsmanagement wird zentralisiert und dadurch produktiver.

Wie funktionieren XDR-Lösungen?

XDR-Lösungen konzentrieren sich nicht nur auf die Sicherheit der Endpoints. Sondern die komplette IT-Infrastruktur eines Unternehmens wird berücksichtigt. Dazu zählen:

• virtuelle und physische Server

• Netzwerke und Netzwerkkomponenten wie Router und Switches

• Anwendungen wie E-Mail, ERP-Anwendungen und Datenbanken

• Cloud-Services und Cloud-Workloads wie Computing, Storage, Software, Plattformen und andere Dienste

Grundsätzlich läuft die Funktion von XDR-Lösungen in drei Schritten ab:

• 1. Übertragung und Analyse von Daten: XDR-Tools sichten und sammeln Daten Endgeräten, Netzwerken, Servern und Cloud-Workloads. Danach führen sie eine Datenanalyse durch, um den Kontext der Warnungen aus den verschiedenen Ebenen zu korrelieren. Es folgt eine Priorisierung der Warnungen, welche das Ziel verfolgt, die Security-Teams zu entlasten.

• 2. Bedrohungserkennung: XDR-Tools bieten hohe Sichtbarkeit über die gesamte IT-Infrastruktur eines Unternehmens. Diese ermöglicht es, ein einheitliches Verständnis für legitime Aktivitäten innerhalb einer Umgebung zu erhalten. Weichen Verhaltensmuster davon ab, erkennen die Lösungen eine Bedrohung.

• 3. Response: Extended Detection and Response ist mehr als Bedrohungserkennung. Die Tools helfen auch Gefahren einzudämmen und zu entfernen sowie Sicherheitsrichtlinien zu aktualisieren. So verhindern sie, dass ein diese Art von Bedrohung erneut auftritt.

Was ist der Unterschied zwischen EDR und XDR?

Im Gegensatz zu Vorgängerkonzepten wie Endpoint Detection and Response, kurz EDR, konzentriert sich XDR nicht nur auf die Gefahrenerkennung und -abwehr bei Endgeräten. Extended Detection and Response lässt sich als eine Erweiterung des EDR-Konzepts betrachten.

EDR steht für Endpoint Detection and Response und konzentriert sich auf die Sicherheit der Endpunkte wie PCs oder Laptops. Einfache Antivirus-Lösungen sind nicht wie EDR in der Lage, das Verhalten der Endpunkte aufzuzeichnen und zu analysieren. Angriffe auf die Cybersicherheit der Endgeräte und Malware lassen sich mit EDR aufgrund von verdächtigem Verhalten erkennen. Anstatt nach Malware und Virensignaturen zu suchen, identifiziert Endpoint Detection and Response Gefahren auf Basis des Endpoint-Verhaltens, um sie anschließend abzuwehren. XDR geht einen Schritt weiter, indem es alle Systeme, Komponenten und Layer in die Analyse und Gefahrenabwehr mit einbezieht. Wie EDR nutzt Extended Detection and Response Machine-Learning- und KI-Verfahren für Bedrohungsanalysen und automatisierte Reaktionen zur Gefahrenabwehr.

Tools für die Endpunktsicherheit sind in der Regel einfacher zu implementieren und eignen sich für Unternehmen mit überschaubaren IT-Sicherheitsanforderungen. XDR-Tools hingegen stammen meist aus erweiterten Produktlinien und bieten eine ganzheitliche Abdeckung der IT-Infrastruktur. Dies eignet sich besonders für komplexe Infrastrukturen und große Unternehmen.

Open Source XDR

Es gibt auch kostenlose quelloffene XDR-Lösungen, die ähnliche Funktionen wie kommerzielle Tools bieten. Allerdings funktionieren Open-Source-XDR-Lösungen oft nicht so nahtlos wie kommerzielle Tools. Denn diese sind darauf ausgelegt, die Komponenten in einer zentralen Plattform zu vereinen. Dies muss bei Open-Source-Lösungen meist manuell umgesetzt werden. Datenquellen müssen integriert, Workflows automatisiert und eine einheitliche Übersicht der Sicherheitsdaten geschaffen werden. Somit ist Open Source zwar eine kostengünstige Alternative, erfordert jedoch erhebliche Integrations- und Konfigurationsaufwände. Beispiele für quelloffene Tools, die XDR-Funktionen bieten sind:

• Wazuh

• Zeek (ehemals Bro)

• Suricata

• Thehive

• Osquery

• Sigma

• OpenDXL

• Graylog

(ID:47386172)