Nederlands
Menu

Antivirus versus EDR versus XDR: preventie of detectie, telemetrie, respons en reikwijdte

Alle drie beschermen eindpunten tegen aanvallen, maar ze verschillen in doel en reikwijdte. Antivirussoftware (een EPP, endpoint protection platform) wil malware tegenhouden voordat die wordt uitgevoerd, met behulp van bekende malwarepatronen en verdachte kenmerken. EDR gaat ervan uit dat inbraken niet volledig te voorkomen zijn: het legt voortdurend processen, bestanden en netwerkactiviteit op het eindpunt vast, vindt verdacht gedrag en helpt bij onderzoek en respons, bijvoorbeeld door het eindpunt te isoleren. XDR correleert gegevens niet alleen van eindpunten maar ook van het netwerk, e-mail, clouddiensten en identiteitsauthenticatie, om het verloop van een aanval over de hele organisatie te vinden. De meeste organisaties combineren een mechanisme dat aanvallen tegenhoudt met een mechanisme dat vindt wat erdoorheen glipt en daarop reageert.

KenmerkAntivirus (EPP)EDRXDR
HoofddoelMalware vinden en tegenhouden voordat die wordt uitgevoerd (preventie)Verdachte activiteit na een inbraak vinden, onderzoeken en erop reageren (detectie en respons)Aanvallen die zich over eindpunten, netwerk, e-mail, cloud en meer uitstrekken in hun geheel vinden en erop reageren
ReikwijdteBestanden op het eindpunt en programma's die op het punt staan te worden uitgevoerdActiviteit op het eindpunt: gestarte processen, wijzigingen in bestanden en register, netwerkverbindingen, aanmeldingenGegevens van eindpunten plus het netwerk, e-mail, clouddiensten en identiteitsauthenticatie
Belangrijkste detectiemethodeVergelijking met bekende malwarepatronen (signatures); veel producten beoordelen ook aan de hand van kenmerken hoe verdacht een bestand isDetectie met gedragsregels en kennis van aanvalstechnieken (zoals ATT&CK); zoeken op IoC'sDetectie die gebeurtenissen uit meerdere bronnen correleert en signalen combineert die op zichzelf zwak zijn
Wat wordt vastgelegdVooral detectieresultaten; activiteit op het eindpunt wordt zelden lang bewaardActiviteit op het eindpunt wordt doorlopend vastgelegd, zodat die achteraf kan worden onderzochtGegevens uit meerdere bronnen worden op één plek verzameld en opgeslagen
Respons na detectieBestanden verwijderen of in quarantaine plaatsenProcessen beëindigen, het eindpunt van het netwerk isoleren en de impact onderzoeken, op afstand vanuit de consoleEindpunten isoleren plus domeinoverschrijdende acties, zoals accounts uitschakelen of e-mails verwijderen
Kracht tegen onbekende aanvallenMist vaak nieuwe malware die niet in de patronen staat en aanvallen die legitieme functies van het besturingssysteem misbruikenBestandsloze aanvallen en misbruik van legitieme tools zijn aan hun gedrag makkelijker te herkennenAanvalsverlopen die vanaf alleen het eindpunt onzichtbaar zijn, zoals binnenkomst via e-mail gevolgd door laterale verspreiding, zijn makkelijker te vinden
Operationele belastingRelatief klein; automatisch tegenhouden is de normEr zijn mensen nodig om waarschuwingen te beoordelen en te onderzoeken; vaak gecombineerd met een SOC of een externe monitoringdienstBrede reikwijdte; vraagt integratie-instellingen en een team dat waarschuwingen beoordeelt
BeperkingenMoeilijk te zien wat iets dat erdoorheen is geglipt binnen het eindpunt heeft gedaanZiet niets buiten het eindpunt (netwerkapparatuur, cloud, onbeheerde eindpunten)Wat kan worden geïntegreerd, verschilt per product; gegevens verzamelen vervangt niet de mensen en procedures die ze beoordelen

De getalswaarden zijn typische ordegroottes en variëren per procesgeneratie en product.

Wanneer welke variant?

Antivirus (EPP)
De basismaatregel die op elk eindpunt hoort. Het houdt veel bekende malware tegen zonder op een menselijke beslissing te wachten.
EDR
Wanneer je ervan uitgaat dat inbraken kunnen slagen en ze vroeg wilt vinden en de schade wilt beperken. Het wordt ook gebruikt bij onderzoek tijdens incidentrespons om na te gaan wat er op een eindpunt is gebeurd.
XDR
Wanneer eindpunten, e-mail, cloud enzovoort op aparte consoles worden bewaakt en je het verloop van een aanval op één plek wilt volgen. De rol overlapt met die van een SIEM, dus bepaal hoe het werk wordt verdeeld met de systemen die je al hebt.

Veelgestelde vragen

Als ik EDR installeer, heb ik dan nog antivirus nodig?

Hun rollen verschillen, dus in de meeste gevallen worden beide gebruikt. Antivirus is sterk in het automatisch tegenhouden van bekende malware voordat die wordt uitgevoerd; EDR is sterk in het vinden, onderzoeken en reageren op de activiteit van aanvallen die erdoorheen zijn geglipt. Veel producten bieden beide functies samen.

Waarom heeft EDR menselijke respons nodig?

Omdat EDR-waarschuwingen ook legitiem beheerwerk en bedrijfstools omvatten die als verdacht worden beoordeeld. Beslissen of het echt een aanval is, de omvang onderzoeken en acties zoals isolatie kiezen, vraagt bediening door medewerkers, een SOC of een externe monitoringdienst. Als niemand naar de waarschuwingen kijkt, kunnen de gegevens alleen de schade niet beperken.

Wat is het verschil tussen XDR en een SIEM?

Beide verzamelen en correleren gegevens uit meerdere bronnen, maar een SIEM wordt meestal beschreven als een platform dat logs breed verzamelt, analyseert en opslaat uit veel soorten apparaten, terwijl XDR zich richt op het diep integreren van een vaste set bronnen, zoals eindpunten en e-mail, en alles van detectie tot respons in één systeem afhandelt. De grens verschilt per product, dus controleer wat wordt verzameld en hoeveel van de respons kan worden geautomatiseerd.

Test uw begrip

Welke beschrijving van EDR (endpoint detection and response) in vergelijking met traditionele antivirussoftware is juist?

  1. AHet registreert voortdurend het gedrag op eindpunten, zoals het starten van processen en netwerkverbindingen, detecteert verdachte activiteit en ondersteunt reacties zoals het isoleren van het apparaat
  2. BHet controleert alleen of bestanden overeenkomen met de kenmerken van bekende malware en verwijdert de bestanden die overeenkomen, zonder gedrag te registreren
  3. CHet staat niet op eindpunten maar aan de grens van het netwerk en blokkeert pakketten die van buiten binnenkomen op basis van IP-adressen en poortnummers
Antwoord en toelichting tonen

Antwoord: A. Het registreert voortdurend het gedrag op eindpunten, zoals het starten van processen en netwerkverbindingen, detecteert verdachte activiteit en ondersteunt reacties zoals het isoleren van het apparaat

Traditionele antivirussoftware vergelijkt vooral bestanden met de kenmerken van bekende malware en wil een inbraak bij de toegang tegenhouden. EDR gaat ervan uit dat een inbraak niet volledig te voorkomen is, en registreert op het eindpunt voortdurend het starten van processen, wijzigingen in bestanden en instellingen, netwerkverbindingen enzovoort om verdacht gedrag te detecteren. Kenmerkend is dat in de registraties kan worden teruggezocht om de route van de inbraak en de omvang van de gevolgen te onderzoeken, dat het apparaat op afstand van het netwerk kan worden geïsoleerd en dat verdachte processen kunnen worden gestopt. Veel producten bieden tegenwoordig antivirusfuncties en EDR in één.

De techniek waarbij een indringer zo min mogelijk eigen malware gebruikt en werkt met legitieme hulpmiddelen die al in het besturingssysteem aanwezig zijn, zoals PowerShell, WMI en de standaardfuncties voor beheer op afstand, heet „living off the land”. Welke denkwijze over tegenmaatregelen tegen deze techniek is het meest passend?

  1. ADe uitvoerbare bestanden van legitieme hulpmiddelen zijn digitaal ondertekend, dus antivirussoftware installeren die de handtekening controleert is genoeg om het te detecteren
  2. BAanvallen met legitieme hulpmiddelen zijn niet te detecteren, dus maatregelen na een inbraak opgeven en alleen investeren in verdediging bij de toegang
  3. CVastleggen wie de legitieme hulpmiddelen uitvoerde, met welke argumenten en vanuit welk ouderproces, ongebruikelijk gebruik detecteren, en de personen en apparaten beperken die beheerhulpmiddelen mogen gebruiken
Antwoord en toelichting tonen

Antwoord: C. Vastleggen wie de legitieme hulpmiddelen uitvoerde, met welke argumenten en vanuit welk ouderproces, ongebruikelijk gebruik detecteren, en de personen en apparaten beperken die beheerhulpmiddelen mogen gebruiken

Bij een living-off-the-landaanval zijn de gebruikte programma's zelf legitiem en ondertekend, dus methoden die bekende malware aan bestandskenmerken herkennen, kunnen de aanval niet detecteren. In plaats daarvan worden de argumenten van opdrachten en de ouder-kindrelaties met EDR en logs van het besturingssysteem verzameld (zoals de registratie van PowerShell-scripts en van het starten van processen), en steunt de detectie op gebruik dat afwijkt van het normale werk, zoals „PowerShell gestart door een applicatie die een document heeft geopend” of „een lange gecodeerde opdracht werd uitgevoerd”. Daarnaast verkleint het beperken van de gebruikers en apparaten die beheerhulpmiddelen mogen gebruiken, en alleen goedgekeurde applicaties laten draaien, de hulpmiddelen die de aanvaller ter beschikking staan.

Welke combinatie van SIEM, SOAR en SOC met hun rol bij beveiligingsmonitoring is juist?

  1. ASIEM is software die het gedrag op eindpunten registreert, SOAR is een apparaat dat verkeer versleutelt, en SOC is een identificatienummer dat aan kwetsbaarheden wordt gegeven
  2. BSIEM voert automatisch reactieprocedures uit, SOAR verzamelt en analyseert de logs van elk apparaat, en SOC is het ontwikkelteam dat kwetsbaarheden in producten afhandelt
  3. CSIEM verzamelt de logs van veel apparaten en correleert ze, SOAR voert automatisch reactieprocedures (playbooks) uit, en SOC is het team dat ze gebruikt voor monitoring
Antwoord en toelichting tonen

Antwoord: C. SIEM verzamelt de logs van veel apparaten en correleert ze, SOAR voert automatisch reactieprocedures (playbooks) uit, en SOC is het team dat ze gebruikt voor monitoring

SIEM (security information and event management) verzamelt logs van firewalls, servers, EDR, clouddiensten enzovoort op één plek, brengt hun tijdstempels op één lijn en toont vermoedelijke aanvallen als alerts met regels die meerdere gebeurtenissen combineren (correlatieanalyse). SOAR (security orchestration, automation and response) voert als reactie op alerts automatisch vaste procedures uit als playbooks, zoals informatie verzamelen, apparaten isoleren en accounts uitschakelen, en verlicht zo het werk van analisten. Het SOC (security operations center) is het team dat deze middelen gebruikt om te monitoren, alerts te analyseren en te bepalen en te melden of iets een incident is, en het werkt vaak 24 uur per dag. De reactie op de incidenten die het SOC vaststelt, wordt meestal geleid door het CSIRT.

  1. Welke beschrijving van de IoC (indicator of compromise) en de IoA (indicator of attack) die bij dreigingsdetectie worden gebruikt, is juist?
  2. Welke uitspraak over een zero-day-aanval is juist?

Oefenvragen over Cyberaanvallen en verdediging in de praktijk

Belangrijke termen uitgelegd

EDR (endpoint detection and response)
Een beveiligingsproduct dat voortdurend de activiteit op eindpunten zoals pc's en servers registreert, waaronder het starten van processen, wijzigingen in bestanden en instellingen en netwerkverbindingen, verdacht gedrag detecteert en onderzoek en reactie ondersteunt (het apparaat isoleren, processen stoppen enzovoort). Anders dan traditionele antivirussoftware, die bekende malwarebestanden herkent, gaat het ervan uit dat inbraken niet volledig te voorkomen zijn, en wil het activiteit na een inbraak vinden.
SIEM (security information and event management)
Een systeem dat logs van firewalls, servers, EDR, clouddiensten, authenticatie-infrastructuur en meer op één plek verzamelt, hun formaten en tijdstempels gelijktrekt, vermoedelijke aanvallen detecteert met regels die meerdere gebeurtenissen combineren (correlatieanalyse), en die als alerts toont. Het wordt ook gebruikt om bij onderzoeken logs te doorzoeken en om logs zo lang te bewaren als regelgeving vereist. Het is een van de centrale hulpmiddelen die analisten in een security operations center (SOC) voor monitoring gebruiken.
Security operations center
Een team of faciliteit die de netwerken, eindpunten en clouddiensten van een organisatie voortdurend bewaakt, alerts van SIEM en EDR analyseert, bepaalt of het om incidenten gaat en die meldt aan wie erop reageert. Afgekort SOC (een andere term dan SoC, system on chip). Het werkt vaak 24 uur per dag, en veel organisaties besteden het uit aan een externe aanbieder in plaats van het zelf te runnen. De reactie op de incidenten die het vaststelt, verloopt in samenwerking met het CSIRT.
Indicator of compromise (IoC)
Een concreet spoor dat aantoont dat een systeem is gecompromitteerd, zoals de hashwaarde van een malwarebestand, het IP-adres of de domeinnaam van een C2-server, of een kenmerkende bestandsnaam. IoC's worden tussen organisaties en via dreigingsinformatie gedeeld en vergeleken met de eigen logs en eindpunten van een organisatie om na te gaan of die door dezelfde aanval is getroffen. Omdat aanvallers hashwaarden en IP-adressen gemakkelijk kunnen veranderen, worden IoC's gecombineerd met indicators of attack (IoA), die zich op het gedrag van de aanvaller richten, en met detectie op basis van technieken.
Incidentrespons
De reeks activiteiten die wordt uitgevoerd als zich een beveiligingsincident zoals een cyberaanval voordoet: de schade vinden en de uitbreiding ervan stoppen, de oorzaak wegnemen en de bedrijfsvoering herstellen, en de geleerde lessen toepassen. De tweede revisie van NIST SP 800-61 (2012) presenteert haar in vier fasen (voorbereiding; detectie en analyse; inperking, uitroeiing en herstel; en activiteiten na het incident), en de derde revisie (2025) heeft haar opnieuw ingedeeld in lijn met het Cybersecurity Framework (CSF) 2.0. Binnen een organisatie leidt het CSIRT haar, in samenwerking met het SOC, de systeemverantwoordelijken, de juridische afdeling, de afdeling communicatie en het management.
Laterale beweging (lateral movement)
Het uitbreiden van een compromittering door een aanvaller die het netwerk van een organisatie is binnengedrongen, waarbij het eerste overgenomen eindpunt als opstap dient en de aanvaller met gestolen inloggegevens en legitieme beheerhulpmiddelen het ene na het andere eindpunt en de ene na de andere server binnengaat. Het gebeurt om dichter bij de beoogde gegevens of bij systemen met beheerdersrechten te komen. Het wordt voorkomen en gedetecteerd met een ander beheerderswachtwoord op elk eindpunt, het blokkeren van onnodig verkeer tussen eindpunten (microsegmentatie), het beheer van bevoorrechte accounts en het bewaken van authenticatielogs.
MITRE ATT&CK
Een kennisbank, gepubliceerd door de Amerikaanse non-profitonderzoeksorganisatie MITRE, van werkwijzen van aanvallers die bij echte aanvallen zijn waargenomen. Ze deelt die in in „tactieken”, die de doelen van de aanvaller weergeven (initiële toegang, persistentie, privilege-escalatie, laterale beweging, exfiltratie enzovoort), en „technieken”, die de concrete methoden weergeven om die te bereiken, en geeft elke techniek een identificatienummer. De verdediging gebruikt haar om na te gaan welke technieken de eigen detecties en maatregelen afdekken, en om werkwijzen in rapporten over dreigingsinformatie in gemeenschappelijke termen te beschrijven.
Zero-day-aanval
Aanval die een kwetsbaarheid in software misbruikt in de periode nadat ze is ontdekt, maar voordat er een oplossing (patch) beschikbaar is. Omdat patches haar niet kunnen voorkomen, wordt de schade beperkt met meerdere verdedigingslagen.

Verwante vergelijkingen