EDR-Lösung - der Sherlock Holmes der Cybersicherheit

Die fortschrittlichen Techniken, die Angreifer heute einsetzen, erfordern umfassendere und proaktivere Sicherheitsmaßnahmen. Eine der wirkungsvollsten Methoden, um die Sicherheitslücke zwischen der Erkennung und der Reaktion auf Bedrohungen zu schließen, ist die Implementierung einer Endpoint Detection and Response (EDR)-Lösung.

EDR-Plattformen bieten eine ganzheitliche Sicht auf alle Aktivitäten auf den Endpunkten eines Netzwerks und ermöglichen es Unternehmen, nicht nur eindringende Malware zu identifizieren, sondern auch verdächtige Verhaltensmuster zu erkennen, die auf tieferliegende Cyberbedrohungen hinweisen. In diesem Blogbeitrag werden wir die Schlüsselkomponenten einer typischen EDR-Lösung untersuchen und aufzeigen, wie diese Systeme dazu beitragen, moderne Unternehmen vor immer raffinierteren Angriffen zu schützen.

A. Der EDR-Plattform auf der Spur

In unserem letzten Blog-Post „Von stillen Hackerangriffen zur Notwendigkeit von Detection-Mechanismen“ haben wir über verdeckte Cyberangriffe und die Notwendigkeit für Detection-Werkzeuge gesprochen. Nun möchten wir Ihnen eine typische EDR-Lösung mit ihren Bausteinen vorstellen.

Hier noch einmal kurz zusammengefasst, was eine EDR-Plattform leistet:

• Sichtbarkeit aller Aktionen auf den Endpunkten: Es werden Security-Events und nicht nur eindringende Malware erkannt.
• Aufdeckung von und Reaktion auf Cyber-Bedrohungen und -Angriffe
• Verhaltensanalysen
• Vorteil gegenüber einfachen Anti-Malware-Lösungen, die nur zum Zeitpunkt des Eindringens in die Systeme gegen explizite, bekannte Schadsoftware helfen, aber z.B. nicht gegen dateilose Schadsoftware.

B. 4 Funktionen einer EDR-Lösung

1. Überwachung der Aktivität des Endpunkts in Echtzeit

Es gibt Analysen, dass ein Angriff über eine Living-of-the-Land-Attacke (LotL) - sogenannte "file-less Attacken" - im Durchschnitt bis zu 200 Tage unerkannt bleibt. Endpoint Detection & Response (EDR) Lösungen ermöglichen die „stille“ Beobachtung eines Eindringlings ohne einzugreifen.

Erkennung, Sammlung und Querkorrelation von Daten

Eine EDR-Lösung bietet die Möglichkeit, Daten unternehmensweit zu erkennen und zu korrelieren. Sie sammelt während einer Attacke Informationen zu:

• laufenden Prozessen,
• Dateien, auf die zugegriffen wird,
• gestarteten Programmen,
• Geräten, die angeschlossen werden,
• der Art des Zugriffs, der über das Netzwerk auf dem Endpunkt erfolgt,
• unternommene Anmeldeversuche,
• Änderungen gegenüber der Endpoint Baseline, in der Standard-Sicherheitseinstellungen vorgegeben wurden, z.B. installierte unautorisierte Software

2. Unterstützung von forensischen Analysen und der Suche von Bedrohungen

Die EDR-Lösung liefert Sicherheitsverantwortlichen, Security-Teams und forensischen Ermittlern die notwendigen Hinweise für die Durchführung ihrer Analyse von auffälligem bzw. abweichendem Verhalten auf dem Endgerät.
Wenn es um Cybersicherheit geht, sollte ein Sicherheitsteam jederzeit den Status und Fortschritt seiner Nachforschungen berichten können. Vorraussetzung hierfür ist das Verständnis typischer Angriffsvektoren und Angriffsvorgehensweisen.

Angriffstechiken und Vektoren - Welche Attacken gibt es?
Greifen wir die MITRE ATT&CK™-Datenbank als Beispiel heraus: Diese Datenbank bietet tiefgreifende Informationen über Angriffstaktiken und Angriffstechniken und sie basiert auf realen Beobachtungen. MITRE ATT&CK™ ist kostenlos.

Verfolgung von Vorfällen: Thread Hunting
Wieviele Vorfälle während der Bedrohungssuche (Threat Hunting) aufgedeckt werden, sollte aber nicht als einziger Erfolgsindikator gelten. Was ist, wenn man nichts Auffälliges findet und trotzdem etwas vorhanden ist?
Es ist deshalb wichtig zu prüfen, ob die richtigen Daten gesammelt wurden, ob die Automatisierung verbessert wurde und wie viel das Team über seine eigene Umgebung weiß, wenn es nach bestimmten gegnerischen Techniken sucht. Dies funktioniert nur mit Fokus auf die richtigen Daten – und hier unterstützt die EDR-Lösung.

3. Identifikation von Angriffen durch Verhaltens- oder Heuristik- Analyse

Eine Verhaltens- oder Heuristikanalyse kann neue Techniken und Malware identifizieren, ohne sich auf bekannte Signaturen zu verlassen. Unter Signaturen verstehen wir u.a. die etablierte Praxis von Softwareherstellern, ihre Programme zu signieren.

Antivirus-Programme (AV) arbeiten auf Basis bekannter Signaturen und können daher nur das melden oder verhindern, was sie auch kennen. Beschreibungen für Schadsoftware sind aber oft nicht aktuell oder fehlen ohnehin aufgrund der Menge auftretender Varianten.

Ein AV-Lösung kann eine Malware-Signatur erkennen, diese ist eine fortlaufende Folge von Bytes, die in Malware enthalten sind. Aber Zero-Day-Angriffe beispielsweise manipulieren die Signatur und werden von AV-Lösungen oft nicht erkannt.

Bei Ransomware-Angriffen handelt es sich um Software, die von Usern – häufig über einen infizierten Email-Anhang – eingeschleust wird . AV schützt nicht immer vor Ransomware, da die Signatur der Malware manchmal neu oder nicht erkennbar ist.

Im Gegensatz zu einer Ransomware-Bedrohung ist ein dateifreier Malware-Angriff ein Angriff auf vorhandene Windows-Tools und keine schädliche Software, die auf dem Computer des Opfers installiert wird. Daher gibt es keine Signatur, die der AV abholen kann.

4. Bereinigung und Behebung von Problemen

EDR-Lösungen ermöglichen eine effektivere Bereinigung und Behebung nach einem Angriff. Die Gegenreaktionen bzw. Responses werden (bei DriveLock) in einer Policy konfiguriert. Responses werden beim Eintreten eines Alerts automatisch ausgeführt oder zentral durch einen Administrator.

Mögliche Responsemöglichkeiten bei Alerts sind u.a.:

• Rechner in Quarantäne schicken bzw. vom Netzwerk isolieren, Prozesse killen, Sicherheitseinstellungen hochregeln
• Ausführen beliebiger Scripts und Batchfiles (z.B. Powershellscript)
• Ändern der Gruppenmitgliedschaft zum Steuern von Policies
• Bewerten von Benutzerverhalten (User Score)
• Bestimmung von unsicheren Computern (Computer Score)
• Starten einer Security Awareness-Kampagne
  
  
  

C. EDR-Compliance

EDR-Compliance bezieht sich auf die Einhaltung von Vorschriften und Standards im Zusammenhang mit Endpoint Detection and Response (EDR)-Systemen. EDR-Systeme sind Sicherheitslösungen, die darauf abzielen, Bedrohungen an Endpunkten (wie Computern, Smartphones und Servern) in einem Netzwerk zu erkennen, darauf zu reagieren und sie zu beheben.

In einer Zeit, in der Cyberangriffe immer ausgeklügelter und schwerer zu erkennen sind, spielt eine leistungsfähige EDR-Lösung eine zentrale Rolle in der Verteidigungsstrategie eines Unternehmens. Die Fähigkeit, Bedrohungen nicht nur zu erkennen, sondern auch effizient darauf zu reagieren und diese zu beheben, macht EDR zu einem unverzichtbaren Werkzeug in der IT-Sicherheit. Von der Überwachung in Echtzeit über die forensische Analyse bis hin zur proaktiven Bedrohungssuche – eine umfassende EDR-Lösung deckt alle Aspekte ab, die notwendig sind, um das Risiko von Cyberangriffen zu minimieren.

Letztlich ist es die Kombination aus diesen Funktionen, die Unternehmen in die Lage versetzt, nicht nur auf Angriffe zu reagieren, sondern ihnen zuvorzukommen. EDR-Lösungen bieten eine ganzheitliche Sicht auf die Sicherheit von Endpunkten und helfen, die oft unsichtbaren Bedrohungen zu erkennen, bevor sie Schaden anrichten können. Indem Sie eine EDR-Lösung implementieren und optimal nutzen, schaffen Sie eine sichere Umgebung, in der Ihre Daten und Systeme geschützt sind – heute und in Zukunft.