Nederlands
Menu

Wat is EDR (endpoint detection and response)?

Een beveiligingsproduct dat voortdurend de activiteit op eindpunten zoals pc's en servers registreert, waaronder het starten van processen, wijzigingen in bestanden en instellingen en netwerkverbindingen, verdacht gedrag detecteert en onderzoek en reactie ondersteunt (het apparaat isoleren, processen stoppen enzovoort). Anders dan traditionele antivirussoftware, die bekende malwarebestanden herkent, gaat het ervan uit dat inbraken niet volledig te voorkomen zijn, en wil het activiteit na een inbraak vinden.

Japanse benaming: EDR(Endpoint Detection and Response)

“EDR (endpoint detection and response)” komt voor in 7 oefenvragen uit 2 onderwerpen, bijv. Cyberaanvallen en verdediging in de praktijk, Basis van informatiebeveiliging.

Vakgebied: Cyberaanvallen en verdediging in de praktijk

Wat het registreert

Een op het eindpunt geïnstalleerde agent registreert het starten van processen en hun ouder-kindrelaties, argumenten op de opdrachtregel, wijzigingen in bestanden en instellingen, netwerkverbindingen, aanmeldingen en meer, en stuurt die naar een beheerserver. Zo kan achteraf een reeks worden nagegaan, zoals „vanuit een e-mailbijlage werd een script gestart dat met een externe host communiceerde”.

Detectie en reactie

De detectie gebruikt regels die passen bij bekende aanvalstechnieken, gedragsanalyse en vergelijking met dreigingsinformatie. Na een detectie kunnen vanuit de beheerconsole maatregelen worden genomen, zoals het apparaat op afstand van het netwerk isoleren, een proces stoppen of een bestand in quarantaine plaatsen, zodat de analisten van het SOC de uitbreiding van de schade snel kunnen indammen.

XDR en MDR

Producten die niet alleen eindpunten maar ook gegevens over e-mail, netwerk, cloud en identiteit samen analyseren, heten XDR (extended detection and response). Diensten die de monitoring en analyse van EDR uitbesteden aan een gespecialiseerde aanbieder, heten MDR (managed detection and response) en worden gebruikt door organisaties die zelf geen team kunnen bemannen dat 24 uur per dag werkt.

Nu oefenen: vragen over EDR (endpoint detection and response)

Welke beschrijving van EDR (endpoint detection and response) in vergelijking met traditionele antivirussoftware is juist?

  1. AHet registreert voortdurend het gedrag op eindpunten, zoals het starten van processen en netwerkverbindingen, detecteert verdachte activiteit en ondersteunt reacties zoals het isoleren van het apparaat
  2. BHet controleert alleen of bestanden overeenkomen met de kenmerken van bekende malware en verwijdert de bestanden die overeenkomen, zonder gedrag te registreren
  3. CHet staat niet op eindpunten maar aan de grens van het netwerk en blokkeert pakketten die van buiten binnenkomen op basis van IP-adressen en poortnummers
Antwoord en toelichting tonen

Antwoord: A. Het registreert voortdurend het gedrag op eindpunten, zoals het starten van processen en netwerkverbindingen, detecteert verdachte activiteit en ondersteunt reacties zoals het isoleren van het apparaat

Traditionele antivirussoftware vergelijkt vooral bestanden met de kenmerken van bekende malware en wil een inbraak bij de toegang tegenhouden. EDR gaat ervan uit dat een inbraak niet volledig te voorkomen is, en registreert op het eindpunt voortdurend het starten van processen, wijzigingen in bestanden en instellingen, netwerkverbindingen enzovoort om verdacht gedrag te detecteren. Kenmerkend is dat in de registraties kan worden teruggezocht om de route van de inbraak en de omvang van de gevolgen te onderzoeken, dat het apparaat op afstand van het netwerk kan worden geïsoleerd en dat verdachte processen kunnen worden gestopt. Veel producten bieden tegenwoordig antivirusfuncties en EDR in één.

Veelgestelde vragen

Is antivirussoftware overbodig als EDR wordt gebruikt?

Hun rollen verschillen, dus in veel gevallen worden beide gebruikt. Antivirussoftware (EPP) houdt bekende malware bij de toegang tegen, en EDR vindt aanvallen die er toch doorheen komen en reageert erop. Veel producten bieden tegenwoordig beide functies in één.

Zijn we veilig als we alleen EDR installeren?

EDR is een hulpmiddel dat alerts en registraties oplevert, dus er zijn mensen en procedures nodig om die te bekijken, te beslissen en te reageren. Zonder een team dat de alerts controleert, loopt de reactie vertraging op, ook als een aanval wordt gedetecteerd. Is een eigen team moeilijk, dan wordt een externe dienst zoals MDR gebruikt.

“EDR (endpoint detection and response)” in de toelichting

Vragen met “EDR (endpoint detection and response)” (7)

  1. Welke beschrijving van EDR (endpoint detection and response) in vergelijking met traditionele antivirussoftware is juist?
  2. Welke uitspraak over een zero-day-aanval is juist?
  3. Bij onderzoek van de registratie van het verkeer op een intern netwerk is het volgende verkeer gevonden. Welk verkeer wijst het sterkst op malware die communiceert met een externe commandoserver (C2-server)?
  4. De techniek waarbij een indringer zo min mogelijk eigen malware gebruikt en werkt met legitieme hulpmiddelen die al in het besturingssysteem aanwezig zijn, zoals PowerShell, WMI en de standaardfuncties voor beheer op afstand, heet „living off the land”. Welke denkwijze over tegenmaatregelen tegen deze techniek is het meest passend?
  5. Welke combinatie van SIEM, SOAR en SOC met hun rol bij beveiligingsmonitoring is juist?
  6. Bij het SolarWinds-incident dat in december 2020 aan het licht kwam, drongen aanvallers de buildomgeving van software voor IT-beheer binnen en werd kwaadaardige code in legitieme updates verwerkt. De updates werden verspreid met de legitieme codehandtekening van de ontwikkelaar. Wat is de meest passende les uit dit incident?
  7. Bij vier incidenten in een organisatie waren de tijd van optreden tot detectie en de tijd van detectie tot inperking: 10 uur en 4 uur bij incident 1, 30 uur en 2 uur bij incident 2, 2 uur en 6 uur bij incident 3, en 6 uur en 4 uur bij incident 4. Welke combinatie van de gemiddelde tijd van optreden tot detectie (MTTD) en de gemiddelde tijd van detectie tot inperking (MTTC) is juist?

Verwante termen

Zero-day-aanval Argument SIEM (security information and event management) Security operations center Aanval op de toeleveringsketen (supply-chainaanval) Mediaan Cyber Kill Chain Digitaal forensisch onderzoek Inbraakdetectiesysteem (IDS) Incidentrespons

Naar de woordenlijst