Was ist EDR (Endpoint Detection and Response)?

Abkürzung für Endpoint Detection and Response. Sicherheitsprodukt, das auf Endgeräten (Endpoints) wie PCs und Servern Prozessstarts, Änderungen an Dateien und Einstellungen, Netzwerkverbindungen usw. fortlaufend aufzeichnet, verdächtiges Verhalten erkennt und Untersuchung und Reaktion (Isolieren des Endgeräts, Stoppen von Prozessen usw.) unterstützt. Anders als herkömmliche Antivirensoftware, die Dateien bekannter Malware erkennt, geht es davon aus, dass sich ein Eindringen nicht vollständig verhindern lässt, und soll Aktivitäten nach dem Eindringen aufdecken.

Japanische Bezeichnung: EDR(Endpoint Detection and Response)

„EDR (Endpoint Detection and Response)“ kommt in 7 Übungsfragen aus 2 Themen vor, z. B. Cyberangriffe und Abwehr in der Praxis, Grundlagen der Informationssicherheit.

Fachgebiet: Cyberangriffe und Abwehr in der Praxis

Was aufgezeichnet wird

Ein auf dem Endgerät installierter Agent zeichnet Prozessstarts und Eltern-Kind-Beziehungen, Argumente von Befehlen, Änderungen an Dateien und Einstellungen, Netzwerkverbindungen, Anmeldungen usw. auf und sendet sie an einen Verwaltungsserver. So lässt sich eine Abfolge wie „aus einem E-Mail-Anhang wurde ein Skript gestartet, das mit außen kommunizierte“ nachträglich verfolgen.

Erkennung und Reaktion

Erkannt wird mit Regeln, die auf bekannte Angriffsmethoden passen, Verhaltensanalyse, Abgleich mit Threat Intelligence usw. Nach einer Erkennung lassen sich Reaktionen wie das Isolieren des Endgeräts vom Netzwerk aus der Ferne, das Stoppen von Prozessen oder das Isolieren von Dateien über die Verwaltungsoberfläche auslösen, sodass Analysten im SOC die Ausbreitung des Schadens schnell eindämmen können.

XDR und MDR

Produkte, die nicht nur Endgeräte, sondern auch Informationen aus E-Mail, Netzwerk, Cloud und Identitäten gemeinsam analysieren, heißen XDR (Extended Detection and Response). Dienste, bei denen Überwachung und Analyse der EDR einem externen Fachanbieter übertragen werden, heißen MDR (Managed Detection and Response); sie werden von Organisationen genutzt, die keinen eigenen 24-Stunden-Betrieb aufbauen können.

Jetzt üben: Fragen zu EDR (Endpoint Detection and Response)

Welche Aussage beschreibt ein Merkmal von EDR (Endpoint Detection and Response) im Vergleich zu herkömmlicher Antivirensoftware richtig?

AEs zeichnet fortlaufend Verhalten auf dem Endgerät wie Prozessstarts und Verbindungen auf, erkennt verdächtige Aktivitäten und unterstützt Reaktionen wie das Isolieren des Endgeräts
BEs prüft nur, ob Dateien mit Merkmalen bekannter Malware übereinstimmen, und löscht übereinstimmende Dateien, zeichnet aber kein Verhalten auf
CEs wird nicht auf dem Endgerät, sondern an der Netzwerkgrenze eingesetzt und blockiert von außen eintreffende Pakete anhand von IP-Adresse und Portnummer

Antwort und Erläuterung anzeigen

Antwort: A. Es zeichnet fortlaufend Verhalten auf dem Endgerät wie Prozessstarts und Verbindungen auf, erkennt verdächtige Aktivitäten und unterstützt Reaktionen wie das Isolieren des Endgeräts

Herkömmliche Antivirensoftware vergleicht vor allem Dateien mit Merkmalen bekannter Malware und soll das Eindringen am Eingang verhindern. EDR geht davon aus, dass sich ein Eindringen nicht vollständig verhindern lässt, zeichnet auf dem Endgerät fortlaufend Prozessstarts, Änderungen an Dateien und Einstellungen, Netzwerkverbindungen usw. auf und erkennt verdächtiges Verhalten. Typisch ist, dass sich anhand der Aufzeichnungen rückwirkend Eindringweg und Ausmaß untersuchen lassen, dass das Endgerät aus der Ferne vom Netzwerk isoliert und verdächtige Prozesse gestoppt werden können. Heute bieten viele Produkte Virenschutz und EDR in einem Produkt an.

Häufige Fragen

Braucht man mit EDR keine Antivirensoftware mehr?

Die Rollen sind verschieden; meist werden beide eingesetzt. Antivirensoftware (EPP) stoppt bekannte Malware am Eingang, EDR findet durchgerutschte Angriffe und reagiert darauf. Heute bieten viele Produkte beide Funktionen in einem an.

Ist man sicher, sobald EDR installiert ist?

EDR ist ein Werkzeug, das Warnungen und Aufzeichnungen liefert; es braucht Menschen und Abläufe, die sie sichten, beurteilen und reagieren. Ohne eine Organisation, die die Warnungen prüft, verzögert sich die Reaktion, auch wenn etwas erkannt wurde. Ist ein eigener Betrieb schwierig, nutzt man externe Dienste wie MDR.

„EDR (Endpoint Detection and Response)“ in den Erläuterungen

EDR geht davon aus, dass sich ein Eindringen nicht vollständig verhindern lässt, zeichnet auf dem Endgerät fortlaufend Prozessstarts, Änderungen an Dateien und Einstellungen, Netzwerkverbindungen usw.
Welche Aussage beschreibt ein Merkmal von EDR (Endpoint Det…
Da kein Patch eingespielt werden kann, ist es wichtig, andere Maßnahmen zu stapeln, um den Schaden zu begrenzen, etwa nicht benötigte Dienste abzuschalten, um die Angriffsfläche zu verringern, Rechte zu minimieren, das Netzwerk zu segmentieren, Mechanismen zur Erkennung und Reaktion auf verdächtige Aktivitäten auf Endgeräten (etwa EDR) einzusetzen und vom Hersteller veröffentlichte Workarounds anzuwenden.
Welche Aussage beschreibt einen Zero-Day-Angriff richtig?
Angreifer versuchen der Erkennung allerdings zu entgehen, indem sie die Abstände schwanken lassen (Jitter) oder legitime Cloud-Dienste als Relais nutzen; daher werden die Verbindungsaufzeichnungen mit den per EDR gesammelten Informationen der Endgeräte kombiniert.
Bei der Untersuchung der Verbindungsaufzeichnungen im inter…
Stattdessen werden mit EDR oder Logs des Betriebssystems (Aufzeichnung von PowerShell-Skripten, Prozessstarts usw.) die Argumente von Befehlen und die Eltern-Kind-Beziehungen gesammelt, und Abweichungen vom normalen Arbeitsablauf wie „eine Anwendung, die ein Dokument geöffnet hat, startet PowerShell“ oder „ein langer, kodierter Befehl wird ausgeführt“ dienen als Hinweise für die Erkennung.
Wenn ein eingedrungener Angreifer möglichst keine eigene Ma…
Ein SIEM (Security Information and Event Management) sammelt Logs von Firewalls, Servern, EDR, Cloud-Diensten usw.
Welche Kombination beschreibt die Rollen von SIEM, SOAR und…