MDR, EDR, EPP und XDR verstehen

Die Cybersicherheitsbranche ist dafür berüchtigt, Begriffe und Akronyme zu prägen, die immer wieder in Ungnade fallen, bevor sie überhaupt eine Chance haben, vollständig verstanden zu werden. Wir haben es verstanden - schnelle Innovationen können chaotisch sein und zu Verwirrung und Unordnung führen. Es ist zwar aufregend und ermutigend zu sehen, dass so viele Lösungsanbieter neue Lösungen erfinden und andere verbessern, was zu neuen Konzepten führt, doch manchmal ist diese ganze Terminologie ehrlich gesagt nur ein Versuch, sich von der Masse abzuheben. Daher fragen sich Unternehmens- und IT-Führungskräfte, welche Cybersicherheitslösungen sie wirklich benötigen, welche überflüssig sind und welche sich ergänzen.

Dies ist also der Versuch von Netsurion, Klarheit zu schaffen, Ihnen dabei zu helfen, Fakten von Fiktionen zu trennen und letztendlich die beste Wahl für Cybersicherheitslösungen für Ihr Unternehmen zu treffen.

MDR

Das war in den letzten Jahren ein heißer Begriff. Von Managed Detection and Response (MDR) fehlt tatsächlich ein Wort. Dieses angenommene Wort ist „Bedrohung“, wie in verwalteter Bedrohungserkennung und -reaktion. Einige argumentieren, dass das fehlende Wort „Endpunkt“ ist, aber das geht dann wiederum auf EDR ein, das ja als verwalteter Dienst bereitgestellt werden könnte … aber darauf gehen wir später noch ein.

Was genau ist MDR? MDR ist keine Technologie - es ist eine Dienstleistung. Was MDR einzigartig macht, ist sein Fokus auf die Nutzung von Technologie und Fachwissen zur kontinuierlichen Überwachung von IT-Ressourcen, um echte Cybersicherheitsbedrohungen schnell zu erkennen und effektiv darauf zu reagieren.

Die Technologie hinter einem MDR-Dienst kann eine Reihe von Optionen umfassen. Bei der Bewertung von MDR-Anbietern ist es wichtig, dies zu verstehen. Der Technologie-Stack hinter dem Dienst bestimmt den Umfang der Angriffe, die erkannt werden können. Bei der Cybersicherheit geht es um „Defense-in-Depth“ - also um die Bereitstellung mehrerer Schutzebenen, um den vielfältigen möglichen Angriffsvektoren entgegenzuwirken. Um eine vollständigere Sichtbarkeit und damit umfassendere Erkennungs- und Reaktionsfähigkeiten zu gewährleisten, werden verschiedene Technologien eingesetzt. Um nur einige zu nennen, gehören zu den Technologien hinter einem MDR-Dienst:

• SIEM (Sicherheitsinformations- und Ereignismanagement)
• NTA (Netzwerkverkehrsanalyse)
• EPP (Endpoint Protection Platform)
• IDS (Intrusion Detection System)

EDR

Wenn es bei MDR um verwaltete Erkennung und Reaktion auf Bedrohungen geht, was ist dann EDR? EDR steht für Endpoint Detection and Response. Auch hier fehlt das Wort „Bedrohung“, da der eigentliche Zweck darin besteht, nicht zu erkennen, dass Endpunkte vorhanden sind. Manchmal, seltener, aber korrekter, als ETDR bezeichnet, liegt der Unterschied zwischen MDR und EDR im Anwendungsbereich. EDR konzentriert sich speziell auf die Erkennung und Reaktion von Bedrohungen in der Endpunktumgebung. Das bedeutet, dass sich EDR auf die Aktivität auf dem Gerät und nicht auf das Netzwerk konzentriert - denken Sie an Laptops, Server und wichtige Geschäftsgeräte wie POS-Systeme.

Um besser zu verstehen, was EDR ist und was nicht, müssen Sie zunächst erkennen, dass „Erkennung und Reaktion“ nur zwei Elemente des Cybersicherheitsrahmens „Vorhersage, Verhinderung, Erkennung und Reaktion“ sind. Um eine vollständige Offenlegung zu gewährleisten, ist dies in echter Cybersicherheits-Manier mit konkurrierender und überlappender Terminologie den fünf Funktionen des NIST Cybersecurity Framework sehr ähnlich: identifizieren, schützen, erkennen, reagieren, wiederherstellen. Aber bleiben Sie bei mir, lassen Sie uns dies im Lichte des Predict, Prevent, Detect, and Respond-Frameworks verstehen.

EDR befasst sich mit Bedrohungen, die die Funktionen „Vorhersage“ und „Verhinderung“ überwunden haben. Sehr wichtig - ja, aber keine vollständige Endpoint-Schutzplattform. Das bringt uns zu unserer nächsten Amtszeit - der EVP.

EVP

EPP steht für Endpoint Protection Platform. Machen Sie sich an dieser Stelle keine Sorgen über die Einführung des Begriffs „Plattform“, da dies hier einen ganz neuen Nerd-Kampf auslösen kann. Konzentrieren Sie sich vielmehr auf den Begriff „Schutz“. Während sich EDR auf die Erkennung und Reaktion auf Endpunktbedrohungen konzentriert, ist EPP umfassender, da es die vier Cybersicherheitsfunktionen „Vorhersage“, „Verhindern“, „Erkennen“ und „Reagieren“ abdeckt und sich dennoch ausschließlich auf die Endpunktumgebung konzentriert. Daher können EPP-Lösungen in unterschiedlichem Maße auch EDR umfassen. Doch der Teufel steckt im Detail. Da kein EPP zu 100 % wirksam ist, ist es wichtig zu beachten, dass Sie sich fragen müssen, welche Erkennungs- und Reaktionsmöglichkeiten Sie für Angriffe haben, die den Präventionskontrollen entgehen.

Apropos Prävention: EPP ersetzt häufiger die grundlegenden Präventionslösungen wie Antiviren- und Anti-Malware-Lösungen, die gegen bekannte Bedrohungen nur in unterschiedlichem Maße wirksam sind. Fortgeschrittenere EPP-Lösungen nutzen künstliche Intelligenz (KI), um die Fähigkeit zu erhöhen, unbekannte oder Zero-Day-Angriffe oder sogar dateilose Angriffe, die keine signaturbasierten Fußabdrücke hinterlassen, zu vereiteln.

Zusamenfassend:

MDR ist ein verwalteter Cybersicherheitsdienst, der auf verschiedenen Technologien basiert und eine Reihe von Funktionen zur Bedrohungserkennung und -reaktion bereitstellt, um Schäden zu mindern, die durch Cyberangriffe verursacht werden, die sich den Präventionskontrollen entziehen. Die eingesetzten Technologieebenen sowie die Wachsamkeit und das Fachwissen der Mitarbeiter bestimmen, wie effektiv ein MDR-Anbieter wirklich sein kann.

EDR hat einen ähnlichen Zweck, konzentriert sich jedoch nur auf Endpunktumgebungen. EDR-Lösungen können reine Technologie sein oder ein verwalteter Dienst sein - wie bei Managed EDR. Ich entschuldige mich jetzt dafür, dass ich diesen Begriff in die Mischung aufgenommen habe.

EPP ist ein umfassenderer Schutz, der den Lebenszyklus einer Bedrohung abdeckt, von der Vorhersage und Prävention bis hin zur Erkennung und Reaktion. Wie effektiv es bei jeder dieser vier Funktionen ist, ist jedoch von Anbieter zu Anbieter unterschiedlich.

XDR

Nein, wir wollen Sie nicht unter Druck setzen. Wir haben einen anderen Erkennungs- und Reaktionsbegriff. Das „X“ in XDR vermittelt das Konzept der Bedrohungserkennung und -reaktion über mehrere Sicherheitskontrollen hinweg - unter Berücksichtigung sowohl der Endpunkt- als auch der Netzwerkaktivität. Ja, die Erkennung und Reaktion auf Endpunkt- und Netzwerkbedrohungen ist eine natürliche Weiterentwicklung oder vielleicht Konvergenz mehrerer Lösungen, vor allem SIEM und EPP. Möglicherweise wird XDR zunehmend für Aufsehen gesorgt, aber in Wirklichkeit ist es ein nützlicher Begriff, der angibt, dass eine Lösung in der Lage ist, Telemetriedaten aus vielen Sicherheitskontrollen zu aggregieren und zu korrelieren, um die IT-Infrastruktur ganzheitlicher zu schützen. Denken Sie daran, dass dieser Begriff allein nicht ausdrückt, welche spezifischen Steuerelemente enthalten sind. Es bedeutet auch nicht, dass die Lösung von einem Security Operations Center (SOC)-Team verwaltet wird.

Video-Modalblock

MSSP

Aber das ist nicht alles. Was ist ein MSSP? Ein Managed Security Service Provider ist umfassenderer Natur und bezieht sich auf eine Organisation (Personen + Technologie), nicht auf einen einzelnen Dienst. Während es sich bei MDR um einen von vielen MSSPs bereitgestellten Dienst handelt, der sich auf die aktive Erkennung und Reaktion auf Bedrohungen konzentriert, befasst sich ein MSSP auch mit der zentralisierten Protokollverwaltung für Compliance-Berichte und Untersuchungsberichte. Ein MSSP sollte außerdem über ein robustes, voll ausgestattetes SOC verfügen, das mit Technologie ausgestattet ist - in der Regel eine SIEM-basierte Plattform - und über eine Reihe von Cybersicherheitsexperten, darunter Sicherheitsplattformadministratoren, Sicherheitsanalysten, Malware-Analysten, ein Labor für Bedrohungsinformationen und Analysten für die Reaktion auf Vorfälle. Im Allgemeinen verfügt ein MSSP über die nötigen Mittel, um MDR-, EDR- und EPP-Funktionalität in einem Komplettpaket bereitzustellen. Dies ist möglicherweise am idealsten für IT-Teams mit begrenzten Ressourcen, die sich auf mehr als nur Cybersicherheit konzentrieren müssen und die Gewissheit haben möchten, dass ihnen ein Expertenteam mit den richtigen Tools zur Seite steht.