BLOG

3 min read

EDR - der Sherlock Holmes der Cybersicherheit

May 14, 2020 9:59:51 AM

EDR Endpoint Detection Lösungen analysieren das Verhalten auf dem Endpunkt
Bildquelle: iStock

Der EDR-Plattform auf der Spur

In unserem letzten Blog-Post „Von stillen Hackerangriffen zur Notwendigkeit von Detection-Mechanismen“ haben wir über verdeckte Cyberangriffe und die Notwendigkeit für Detection-Werkzeuge gesprochen. Nun möchten wir Ihnen eine typische EDR-Lösung mit ihren Bausteinen vorstellen.

Hier noch einmal kurz zusammengefasst, was eine EDR-Plattform leistet:

  • Sichtbarkeit aller Aktionen auf den Endpunkten: Es werden Security-Events und nicht nur eindringende Malware erkannt.
  • Aufdeckung von und Reaktion auf Cyber-Bedrohungen und -Angriffe
  • Verhaltensanalysen
  • Vorteil gegenüber einfachen Anti-Malware-Lösungen, die nur zum Zeitpunkt des Eindringens in die Systeme gegen explizite, bekannte Schadsoftware helfen, aber z.B. nicht gegen dateilose Schadsoftware.

Die Funktionen einer Endpoint Detection & Response (EDR)-Lösung


1. Überwachung der Aktivität des Endpunkts in Echtzeit

Es gibt Analysen, dass ein Angriff über eine Living-of-the-Land-Attacke (LotL) - sogenannte "file-less Attacken" - im Durchschnitt bis zu 200 Tage unerkannt bleibt. Endpoint Detection & Response (EDR) Lösungen ermöglichen die „stille“ Beobachtung eines Eindringlings ohne einzugreifen.

Erkennung, Sammlung und Querkorrelation von Daten

Eine EDR-Lösung bietet die Möglichkeit, Daten unternehmensweit zu erkennen und zu korrelieren. Sie sammelt während einer Attacke Informationen zu:

  • laufenden Prozessen,
  • Dateien, auf die zugegriffen wird,
  • gestarteten Programmen,
  • Geräten, die angeschlossen werden,
  • der Art des Zugriffs, der über das Netzwerk auf dem Endpunkt erfolgt,
  • unternommene Anmeldeversuche,
  • Änderungen gegenüber der Endpoint Baseline, in der Standard-Sicherheitseinstellungen vorgegeben wurden, z.B. installierte unautorisierte Software

 

2. Unterstützung von forensischen Analysen und der Suche von Bedrohungen

Die EDR-Lösung  liefert Sicherheitsverantwortlichen, Security-Teams und forensischen Ermittlern die notwendigen Hinweise für die Durchführung ihrer Analyse von auffälligem bzw. abweichendem Verhalten auf dem Endgerät.
Wenn es um Cybersicherheit geht, sollte ein Sicherheitsteam jederzeit den Status und Fortschritt seiner Nachforschungen berichten können. Vorraussetzung hierfür ist das Verständnis typischer Angriffsvektoren und Angriffsvorgehensweisen.

Angriffstechiken und Vektoren - Welche Attacken gibt es?
Greifen wir die MITRE ATT&CK™-Datenbank als Beispiel heraus: Diese Datenbank bietet tiefgreifende Informationen über Angriffstaktiken und Angriffstechniken und sie basiert auf realen Beobachtungen. MITRE ATT&CK™ ist kostenlos.

Verfolgung von Vorfällen: Thread Hunting
Wieviele Vorfälle während der Bedrohungssuche ("Threat Hunting") aufgedeckt werden, sollte aber nicht als einziger Erfolgsindikator gelten. Was ist, wenn man nichts Auffälliges findet und trotzdem etwas vorhanden ist?
Es ist deshalb wichtig zu prüfen, ob die richtigen Daten gesammelt wurden, ob die Automatisierung verbessert wurde und wie viel das Team über seine eigene Umgebung weiß, wenn es nach bestimmten gegnerischen Techniken sucht. Dies funktioniert nur mit Fokus auf die richtigen Daten – und hier unterstützt die EDR-Lösung.

 

3. Identifikation von Angriffen durch Verhaltens- oder Heuristik- Analyse

Eine Verhaltens- oder Heuristikanalyse kann neue Techniken und Malware identifizieren, ohne sich auf bekannte Signaturen zu verlassen. Unter Signaturen verstehen wir u.a. die etablierte Praxis von Softwareherstellern, ihre Programme zu signieren.

Antivirus-Programme (AV) arbeiten auf Basis bekannter Signaturen und können daher nur das melden oder verhindern, was sie auch kennen. Beschreibungen für Schadsoftware sind aber oft nicht aktuell oder fehlen ohnehin aufgrund der Menge auftretender Varianten.

Ein AV-Lösung kann eine Malware-Signatur erkennen, diese ist eine fortlaufende Folge von Bytes, die in Malware enthalten sind. Aber Zero-Day-Angriffe beispielsweise manipulieren die Signatur und werden von AV-Lösungen oft nicht erkannt.

Bei Ransomware-Angriffen handelt es sich um Software, die von Usern – häufig über einen infizierten Email-Anhang – eingeschleust wird . AV schützt nicht immer vor Ransomware, da die Signatur der Malware manchmal neu oder nicht erkennbar ist.

Im Gegensatz zu einer Ransomware-Bedrohung ist ein dateifreier Malware-Angriff ein Angriff auf vorhandene Windows-Tools und keine schädliche Software, die auf dem Computer des Opfers installiert wird. Daher gibt es keine Signatur, die der AV abholen kann.

 

4. Bereinigung und Behebung von Problemen

EDR-Lösungen ermöglichen eine effektivere Bereinigung und Behebung nach einem Angriff. Die Gegenreaktionen bzw. Responses werden (bei DriveLock) in einer Policy konfiguriert. Responses werden beim Eintreten eines Alerts automatisch ausgeführt oder zentral durch einen Administrator.

Mögliche Responsemöglichkeiten bei Alerts sind u.a.:

  • Rechner in Quarantäne schicken bzw. vom Netzwerk isolieren, Prozesse killen, Sicherheitseinstellungen hochregeln
  • Ausführen beliebiger Scripts und Batchfiles (z.B. Powershellscript)
  • Ändern der Gruppenmitgliedschaft zum Steuern von Policies
  • Bewerten von Benutzerverhalten (User Score)
  • Bestimmung von unsicheren Computern (Computer Score)
  • Starten einer Security Awareness-Kampagne

 

Wenn Sie unsere EDR-Lösung live testen möchten, dann haben Sie bei uns die Möglichkeit dies 30 Tage kostenlos zu tun.

Jetzt DriveLock 30 Tage kostenlos testen

 

Sie möchten mehr Informationen zu EDR? Sehen Sie sich die Aufzeichnung unseres EDR-Webinars an. Dort erläutern unsere Produktmanager und Presales-Kollegen EDR anhand unserer Lösung.

Jetzt Webinar zu EDR ansehen

 

Andreas Fuchs
Written by Andreas Fuchs

Vice President Product Management

weitere News