Endpoint Detection and Response (EDR)

Häufig gestellte Fragen (FAQs)

• Was ist eine Endpoint Detection & Response (EDR)-Lösung?

  Die EDR-Erweiterung ist eine aktive Endpoint Security-Lösung, die Endpunkte auf Systemebene kontinuierlich und in Echtzeit auf verdächtige Sicherheitsereignisse hin überwacht und diese zueinander in Beziehung setzen (korrelieren) kann, um schädliche Aktivitäten, kompromittierte Prozesse und verdächtige Verhaltensmuster auf Endbenutzergeräten zu erkennen. Mit dem Ziel, gerade stattfindende Angriffe, potenzielle Sicherheitsvorfälle, Systemkompromittierungen oder Datenschutzverletzungen zu erkennen - und dann als Abwehrsystem zu fungieren, das entsprechende Schadensbehebungsfähigkeiten bereitstellt.
  
  Die wichtigsten Fähigkeiten einer EDR-Lösung werden von Gartner wie folgt definiert:

  • Sicherheitsvorfälle erkennen
  • Den Vorfall auf dem betreffenden Endpunkt eindämmen
  • Sicherheitsvorfälle untersuchen
  • Anweisungen zur Schadensbehebung bereitstellen

• Wer benötigt eine Endpoint Detection & Response-Lösung?

  Die Endpoint Protection-Strategie von Unternehmen, die potenzielle Ziele von Cyberbedrohungen sind und/oder wertvolle Daten auf ihren Endgeräten speichern, sollte sowohl fortschrittliche Funktionen zur Bedrohungserkennung als auch geeignete Werkzeuge zur Schadensbehebung umfassen.
  
  KMUs und mittelständische Unternehmen sind oft einem erhöhten Risiko durch fortschrittliche Cyberbedrohungen ausgesetzt, wenn ihre internen Kapazitäten und Budgets begrenzt sind. Dies kann dann ihren Zugang zu Endpoint Security-Lösungen erschweren, die herkömmlicherweise ein hohes, auf Unternehmen ausgerichtetes Kosten- und Komplexitätsniveau haben.
  
  Dennoch sind EDR-Lösungen vor allem für Unternehmen, die in Branchen mit hohen regulatorischen Anforderungen und erhöhten Cyberrisiken tätig sind (z.B. im Finanz-, Gesundheits- oder Rechtswesen, im Online-Handel oder im öffentlichen Sektor), ein Muss für ihre Cyber Security-Strategie, wenn sie gesetzliche Vorschriften einhalten und sicherstellen wollen, dass ihre vertraulichen Endpunktdaten kein Opfer von Cyberbedrohungen werden.
  
  Eine EDR-Lösung gewährleistet, dass Unternehmen (egal welcher Größe und Komplexität) durch hochwertige Services, die bei Bedarf auch auf viele Clients skalierbar sind, zuverlässig geschützt werden.

• Warum kann unsere EDR-Erweiterung Ihre Betriebskosten im Vergleich zu anderen EDR-Lösungen senken?

  Bisherige professionelle EDR-Lösungen sind in puncto Kosten und Komplexität eher auf große Unternehmen (Enterprise-Niveau) ausgerichtet und erfordern daher große Sicherheitsteams für den Betrieb. Außerdem werden bisher meist spezielle Sicherheitsanalysten benötigt, die Hunderte von Protokollzeilen manuell durchsuchen und stundenlang verdächtige Aktivitäten untersuchen müssen. Aber selbst dann sind für einen Schutz, der alle Anforderungen der gängigen NIST-Vorgaben erfüllen und für eine zuverlässige Geschäftskontinuität sorgen soll, meist noch zusätzliche Lösungen und Software-Agenten erforderlich, was den „Wildwuchs“ an Tools und die Komplexität dieser herkömmlichen Lösungen noch weiter erhöht.
  
  Unsere EDR-Erweiterung führt – ähnlich zu anderen EDR-Tools – eine kontinuierliche Datenerfassung anhand sicherheitsrelevanter Ereignisse durch. Darüber hinaus verbessert sie aber noch Ihre Analysemöglichkeiten, indem alle potenziellen Vorfälle gemeldet, priorisiert und die erfassten Daten zu geführten Angriffsinterpretationen zusammengefasst werden, die sich am bekannten MITRE ATT&CK®-Framework orientieren. Dadurch können die Sicherheitsanalysten verdächtige Aktivitäten auch über viele Clients hinweg schnell (eher in Minuten als bisher in Stunden) untersuchen und eine bessere Skalierbarkeit erreichen.
  
  Außerdem ist unsere EDR-Erweiterung direkt in Acronis Cyber Protect Cloud integriert, was Administratoren einzigartige Vorteile bietet. Wie etwa die Möglichkeit, diverse Schadensbehebungsmaßnahmen (die alle NIST-Anforderungen abdecken, inkl. Datenwiederherstellungen) mit einem einzigen Mausklick auszuführen. Dies beseitigt den Wildwuchs der herkömmlichen Lösungen und ermöglicht Ihnen, eine umfassende Endpoint Protection-Lösung bereitzustellen, die nur einen einzigen Acronis Agenten und eine einzige, zentrale Konsole benötigt.

• Gegen welche Arten von Bedrohungen schützt diese EDR-Lösung?

  Es gibt mehrere Arten von fortschrittlichen Cyberbedrohungen, die bisher oft in der Lage waren, andere Endpoint Protection-Schutzschichten (z.B. herkömmliche Antiviren-Programme) zu überwinden. Zu den bekanntesten dieser Cyberbedrohungen gehören:

  • Zero-Day-Malware bzw. -Ransomware — Malware und/oder Ransomware, die über eine sogenannte Zero-Day-Schwachstelle in Systeme eindringt. Darunter versteht man eine bestehende Sicherheitslücke, für die der entsprechende Hersteller noch keinen Patch bereitgestellt hat. Dies Sicherheitslücke kann dabei sowohl öffentlich als auch unbekannt sein. Eine solche Malware kann einige verhaltensbasierte Detection Engines aushebeln.
  • Persistent Threats (APTs) — Angriffe, die anhaltende, ausgefeilte und Erkennungen ausweichende Hacking-Techniken einsetzen, um unbefugte Systemzugriffe zu erlangen und über einen längeren Zeitraum unentdeckt zu bleiben. Sie können daher sehr schädliche Folgen haben. Solche Angriffe bestehen in der Regel aus mehreren Phasen, wie etwa der Systeminfiltration, Rechteausweitung, lateralen Bewegungen innerhalb der Infrastruktur und Exfiltration von vertraulichen Daten. APT-Angriffe beruhen in der Regel auf sogenannten LotL-Techniken („Living off the Land“). Dabei versucht der Angreifer, Tools zur weiteren Verbreitung zu verwenden, die bereits in der Zielumgebung vorhanden sind. Das macht die Erkennung solcher Angriffe schwieriger, ihre Ausführung jedoch umso billiger.
  • Dateilose Angriffe — unter einer dateilosen Malware versteht man eine Art von Schadsoftware, die normalerweise zulässige/legitime Programme verwendet, um einen Computer zu infizieren und daher selbst ohne eine eigene, klassische Ausführungsdatei auskommt. Solche Angriffe basieren nicht auf herkömmlichen Dateien und hinterlassen daher keine üblichen Spuren, was es schwierig macht, sie zu erkennen und zu bekämpfen.
  • Hacking — unter Hacking versteht man das Auffinden und anschließende Ausnutzen von Schwachstellen in einem Computersystem oder Netzwerk. In der Regel erfolgt dies, um unbefugten Zugriff auf persönliche oder unternehmensbezogene Daten zu erhalten. Abhängig davon, welche Techniken verwendet werden, kann ein Hacking-Angriff schwer zu erkennen sein. So können etwa gestohlene Anmeldedaten oder andere Techniken eingesetzt werden, die den Infiltrationsvorgang wie einen ganz normalen Prozess aussehen lassen. Bis es zu spät für eine Reaktion ist und die Daten exfiltriert wurden.

  
  Um auf solche und weitere hochentwickelte Bedrohungen reagieren zu können, sind fortschrittlichere Sicherheitskontrollen erforderlich, wie sie eben eine EDR-Lösung bietet.