Erfahren Sie, wie diese Cloud-native, skalierbare Cybersecurity-Lösung mehrere Telemetriequellen vereinheitlichen und umwandeln kann.
XDR & SIEM LösungExtended Detection and Response (XDR) beschleunigt eine umfassendere Threat Detection and Response.Diese Cloud-native, Cloud-skalierbare Sicherheitslösung kann mehrere Telemetriequellen vereinheitlichen und transformieren. Forrester definiert XDR als „die Weiterentwicklung von Endpoint Detection and Response“ (EDR).
In der Branche besteht die Dringlichkeit, EDR proaktiver, umfassender und präskriptiver zu machen – ohne Perimeter eilen Daten in die und aus der Cloud, und die Chancen für Bedrohungsakteure sind mehr denn je günstig. XDR verspricht, Bedrohungen früher zu finden und schneller zu reagieren/beheben. Laut Gartner ist XDR ein „Detection and Incident Response-Tool, das mehrere Sicherheitsprodukte nativ in ein einheitliches Sicherheitsbetriebssystem integriert“.
Und laut Enterprise Strategy Group (ESG) kann XDR-Security „als Multiplikator der Cybersecurity dienen, nicht nur als das nächste Trend-Thema bei RSA und Black Hat“. Es wird weiterhin lebhaft diskutiert, was unter XDR eigentlich zu verstehen ist: Ist es ein Produkt? Oder eine Lösung? Eine Weiterentwicklung des Security Information and Event Management (SIEM)?
Zunächst einmal scheint die Bezeichnung als Ansatz sinnvoll zu sein, mit dem eine effizientere und effektivere Erkennung und Abwehr erzielt wird.
XDR nutzt fortschrittliche Analysemethoden, um Warnungen aus verschiedenen Telemetriequellen zu verwertbaren Bedrohungsdaten zu korrelieren, die Bedrohungen in einem früheren Stadium des Erkennungs- und Reaktionsprozesses stoppen können. Werfen wir einen Blick auf die Funktionsweise einer XDR-Lösung.
XDR sollte die Telemetrie für Remote-Benutzer, Netzwerkdaten, Endpunkte, die Cloud und das, was als Nächstes den Markt bestimmen wird, vereinheitlichen. Bei einem guten XDR-Ansatz haben Analysten Detections, umfassende Untersuchungen, detaillierte, stark korrelierte Threat Events und automatisierte Reaktionsempfehlungen. Analysten können einfacher, intelligenter und schneller arbeiten und wissen immer, was als nächstes zu tun ist.
Der richtige XDR-Ansatz ist das Ende des ständigen Tab-Hopping, denn er stellt einen einzigen umfassenden Hub bereit, der uneingeschränkt technisch erweitert werden kann. Durch die SaaS-Implementierung wird eine Zusammenarbeit im gesamten Büro oder auch weltweit möglich. XDR sollte auch Sicherheitsteams von hohen analytischen Anforderungen befreien, indem es Warnmeldungen für Sie analysiert.
In einem ausgereiften XDR entsteht ein drastisch anderes Signal-Rauschen-Verhältnis. Die richtige Methodik, Threat Intelligence und mit großer Sorgfalt zusammengestellte Erkennungsbibliothek bedeuten für Sie, dass Sie standardmäßig den Out-of-the-Box Detections vertrauen können. Und all Ihre unterschiedlichen Daten sollten nach Benutzer, Asset und Aktivität korreliert werden.
Laut Forrester sollte XDR präskriptive Reaktionsanleitungen enthalten, die mit nur einem Klick ausgeführt werden können. Geboten werden Ihnen z.B. vordefinierte Workflows für Vorgänge wie die Maßnahmen gegen Bedrohungen an einem Endpunkt, die Sperrung von Benutzerkonten und die Integration in Ticketing-Systeme wie Jira und ServiceNow.
Herkömmliche SIEMs wurden entwickelt, um riesige Mengen an Logdaten zu verarbeiten und Sicherheitsteams Analysefunktionen zu bieten. Von dort aus liegt es an Ihnen, relevante Sicherheitstelemetrie zu aggregieren, Ergebnisse zu korrelieren, Bedrohungen zu validieren und zu beheben.
Wenn Sie einen XDR-Ansatz mit Cloud-SIEM im Zentrum wählen, werden Ihnen die Analyse und Konfiguration abgenommen. Der Schwerpunkt liegt auf Effizienz und der Beschleunigung der Incident Response.
Ein herkömmliches SIEM überlässt Ihnen eine Menge Aufgaben. Allerdings, XDR = SIEM + EDR, alles kuratiert. Das bedeutet, dass Teams über systemeigene, relevante und umsetzbare Telemetrie, detailgetreue Erkennungen und Playbooks mit präskriptiven Reaktionen verfügen.
XDR sollte weit über die Verwaltung und Analyse von SIEM-Logs hinausgehen. Die digitale Transformation nimmt Fahrt auf. Ortsunabhängig zu arbeiten ist die neue Normalität. Echte XDR-Plattformen begegnen diesen neuen Sicherheitsherausforderungen, indem sie Bedrohungen aus einer Reihe von Telemetriequellen und Bedrohungs-Feeds identifizieren.
Mit einem wachsenden Datenvolumen, das verwaltet werden muss, kommt eine wachsende Anzahl von Alerts, die untersucht werden müssen. Herkömmliche SIEM-Lösungen bieten Analysten in der Regel nicht den Kontext, den sie benötigen, um diese Warnungen zu priorisieren. Hier glänzt XDR. XDR nutzt die Praktiken von SOAR-Lösungen (Security Orchestration, Automation and Response), um die Unmengen falsch positiver Meldungen automatisiert auszusortieren und die Qualität der eingehenden Alerts zu verbessern. XDR verfeinert und kanalisiert die effektivsten SIEM- und SOAR-Praktiken und legt dabei den Schwerpunkt auf fortschrittliche Telemetrie, damit Teams proaktiver als bei herkömmlichen reaktiven Workflows agieren können.
EDR ist ein entscheidender Faktor in der Methodik eines SOC — es hilft dabei, Endpunkte im gesamten Netzwerk zu sichern und gestohlene Anmeldeinformationen für Arbeitsstationen, seitliche Bewegungen von Bedrohungsakteuren und andere schwer fassbare Verhaltensweisen zu verhindern. Das Erfassen von relevantem Kontext für Warnungen ist das "Sahnehäubchen", das die Endpunktsicherheit erweitert, so dass Analysten und Experten schneller handeln können.
Eine leistungsfähige IDR-Lösung (Incident Detection and Response) sollte in der Lage sein, diese erweiterte Endpunkttelemetrie zu nutzen, um eine sofortige Erkennung von Bedrohungen zu ermöglichen. Analysten können dann schneller handeln, da sie sich nicht durch Berge von Warnungen wühlen müssen, sondern schnell auf die Warnung mit der höchsten Priorität reagieren können.
XDR-Endpunktlösungen beschränken sich nicht nur auf die Erkennung von Bedrohungen. Enhanced Endpoint Telemetry (EET) ermöglicht es Teams, genau zu wissen, was eine bestimmte Erkennung ausgelöst hat. Sie erhalten spezifische Details darüber, was vor und nach dem Vorfall passiert ist. Durch das Hinzufügen des wichtigen "X" zu EDR profitieren die Teams auch vom File Integrity Monitoring (FIM), das einen zuverlässigeren Kontext zu den Nutzern und spezifischen Assets liefert, die von einer Erkennung betroffen sind.
Wenn ein SOC mit einem Anbieter von Managed Detection and Response (MDR) zusammenarbeitet, der sich mit XDR-Funktionen auskennt, kann das Team sicherstellen, dass es weiterhin innovativ arbeiten kann, um das Geschäft voranzutreiben, und gleichzeitig Warnmeldungen mit dem richtigen Kontext erhält, um Prioritäten zu setzen.
Durch das Hinzufügen von XDR-Funktionen müssen Sicherheitsteams nicht mehr zwischen verschiedenen Tools hin- und herspringen. Sie sind in der Lage, genau zu entschlüsseln, was ein Angriff und was ein normaler Befehl war, und große Effizienz bedeutet mehr Schutz.
Wenn Sie nach einer XDR-Lösung suchen, sind Sie nicht allein: 83 % der Unternehmen erhöhen ihr Budget für die Bedrohungserkennung und -abwehr. 29 % geben zu, tote Winkel zu haben, 29 % müssen die Zeit bis zur Wiederherstellung verkürzen und 27 % brauchen Hilfe, wenn es um die Erkennung der Bedrohungen geht, die priorisiert werden sollten.2
Viele Anbieter von XDR-Lösungen gehen davon aus, dass Sie die vielen anderen Technologien integrieren (und bezahlen), die Sie für die vollständige Telemetrie und die größere Transparenz in Ihrer Umgebung brauchen: Endpunkt-Agenten, Netzwerksensoren, Cloud-Verbindungen, User Behavior Analytics (UBA) und Log-Ingestion.
Informieren Sie sich genau, was in den jeweiligen XDR-Lösungen enthalten ist.
Also, was ist eines der am meisten erwarteten Ergebnisse von XDR? Das ständige Rauschen von Alerts zu beenden und High-Fidelity-Erkennungen zu liefern.
Stellen Sie Fragen zur Methodik, der Threat Intelligence und der Sorgfalt, die in der Bibliothek der Bedrohungen stecken. Befassen Sie sich mit der Philosophie und dem Proof-of-Concept des Anbieters. Lassen Sie sich Erkennung in der Praxis zeigen. Schließlich sollten Sie sich eine objektive Analyse oder Rezensionen von unabhängigen Experten ansehen, um mehr zu erfahren.
Finden Sie heraus, was automatisiert ist. Sind Analysten zum Handeln bereit? Ist die Anleitung eingebettet? XDR soll Ihnen die monotone, sich wiederholende Arbeit abnehmen und Ihnen die interessante Arbeit überlassen, für die Sie gelernt haben – und Sie hoffentlich rechtzeitig zum Abendessen nach Hause bringen. Externe, proaktive Threat Intelligence, die über den Perimeter hinausgeht, sind heute die Norm bei der Reaktion auf Vorfälle angesichts einer zunehmend dynamischen Angriffsfläche.
Laden Sie den ESG Research Report, "The Impact of XDR in the Modern SOC", herunter
1 Enterprise Strategy Group (ESG), Februar 2021