Welche Möglichkeiten gibt es für Detection & Response?

Streng genommen bietet EDR für sich alleine noch keinen aktiven Schutz. Die Detection, also das Entdecken, meldet wohl ein potenziell maliziöses Verhalten, würde aber an sich noch keine nachfolgende Aktion ausführen. Die Response wiederum bietet mir als Admin, respektive Responder, ein Werkzeug, um auf diese Erkennungen zu reagieren. Durch SOAR Tools (Security Orchestration, Automation and Response) lassen sich anhand von Playbooks Reaktionen vordefinieren, sodass nicht zwingend ein menschlicher Responder aktiv werden muss.

Wie’s der Name schon sagt, handelt es sich bei MDR um eine (fremd)verwaltete Version von EDR oder NDR. Gerade KMUs mit limitierten Ressourcen können von solchen Services enorm profitieren. MDR beschränkt sich nicht nur auf den Endpoint. Auch Anbieter im Bereich von NDR oder Firewalls bieten mittlerweile Services an. Dabei gibt es wiederum verschiedene Abstufungen an Angeboten wie z.B. Managed SOC, Managed Threat Hunting oder Managed Security Service Provider.

KMUs, die kein eigenes SOC (Security Operations Center) betreiben, können solche Dienste direkt von Herstellern oder von entsprechenden Dienstleistern beziehen. Die Dienstleistungen umfassen in diesem Fall das Verwalten der installierten Agents der Security Lösung, die Reaktion bei Detections (Triage, Benachrichtigungen, Alarm), die Isolation betroffener Systeme sowie bis zu einem gewissen Grad Remediation. Weiterführende Wiederherstellungsaufgaben, z.B. das Zurückspielen von Backups oder das Neuaufsetzen von Systemen wie auch die initiale Installation der Agents bleiben dem Kunden überlassen.

Beim Managed Threat Hunting geht es primär darum, dass sich externe Spezialisten um die Suche nach maliziösen Vorkommnissen kümmern. Wird dabei etwas entdeckt, wird analog einer EPP Lösung der verdächtige Vorgang blockiert und ein entsprechender Alarm erstellt. Im Unterschied zu einer normalen EPP Lösung nutzt man somit den Vorteil eines grösseren Datensatzes dank EDR, was natürlich die Visibilität enorm erweitert, sowie das fundierte Fachwissen des jeweiligen Anbieters. CrowdStrike gehört mit seinem Angebot Falcon Overwatch zu den führenden Anbietern in diesem Bereich.

Ein MSSP (Managed Security Service Provider) bietet ähnliche Dienstleistungen wie ein Managed SOC, wobei hier die Aufgabenstellung zwischen Kunde und MSSP zu definieren ist. Grundsätzlich geht es hier darum, dem Kunden den Betrieb der Sicherheitslösung soweit wie möglich abzunehmen und bei einem Vorfall den Kunden zu alarmieren und zu unterstützen. Je nach Zugriffsmöglichkeiten und Aufgabenstellung wäre auch Incident Response möglich. Gerade Cloud Lösungen bieten hier Vorteile, da kein zusätzliches VPN zwischen MSSP und Kunde benötigt wird.

Bei einem XDR geht es darum, dass man Informationen diverser Sicherheitsprodukte eines Herstellers in einem zentralen System zusammenfliessen lässt. An und für sich ähnlich wie man das von einem SIEM kennt. Schaut man sich beispielsweise die Produktpalette von Trend Micro an, erkennt man sehr schnell den Vorteil. Bis anhin unabhängige Systeme wie ApexOne (Endpoint Security), Deep Security (Server und Cloud Workload Security), ScanMail (Mail Security), TippingPoint (IPS) oder Deep Discovery Analyzer (Sandbox) speichern ihre Daten in einem zentralen Data Lake, auf welchem dann XDR aufbaut.

Die Idee dahinter ist einleuchtend: Erkennt eine Komponente etwas Böses, kann diese Information mit allen anderen Produkten in Sekundenschnelle geteilt werden. Gefahr erkannt, Gefahr gebannt. Und zwar über alle Systeme.

Trend Micro, wie wohl auch andere Hersteller von XDR Lösungen, bieten auch Managed XDR Services an.

Ich will an dieser Stelle nicht gross auf NDR eingehen, das hat der Kollege The_Unicorn schon gemacht. Nachzulesen beispielsweise hier:  www.tec-bite.ch/wer-kann-was-wir-vergleichen-ips-vs-network-detection-response-vs-vulnerability-management/.

Zusammengefasst hängt ein NDR System passiv im Netzwerk und analysiert die Kommunikation. Bei auffälligem Verhalten werden die Administratoren entsprechend informiert und/oder betroffene Systeme isoliert. Im Zusammenspiel mit einer NAC (Network Access Control) Lösung ein sehr mächtiges Werkzeug.

Auch für NDR gibt es Managed Services von Herstellern.

Ob man sein EDR, NDR oder XDR System nun selber betreibt oder von einem Dienstleister betreiben lässt, am Ende ist es wichtig, dass man bei einer Detection schnell und richtig reagiert. Wie bereits erwähnt, lassen sich über SOAR Systeme oder API viele Reaktionen automatisieren. Gerade bei kritischen Systemen ist das jedoch nicht immer erlaubt, geschweige denn die beste Idee.

Auch im Bereich der Incident Response ist der Markt mittlerweile voll von Angeboten. Teilweise bieten die Hersteller eigene IR Teams oder man setzt auf Dienstleister, die dann bei einem Vorfall eigene Tools mitbringen.

Von Vorteil ist natürlich, wenn man bereits ein EDR System betreibt bevor ein Vorfall eintritt. Dadurch hat man eine gute Ausgangslage, um zielgerichtet reagieren zu können.

Weitere Informationen zum Thema Response findet man hier: www.tec-bite.ch/endpoint-detection-and-response-r-wie-response/.

Ein one-size-fits-all gibt es wohl nicht. Im Endeffekt kommt es auf die Ausgangslage und Bedürfnisse des jeweiligen Kunden an. Weiss ich was in meinem Netzwerk oder auf meinen Rechnern wirklich vor sich geht? Habe ich die nötigen Skills und vor allem die nötige Zeit, um ein EDR in Eigenregie zielführend zu betreiben? Gerade für KMU Betriebe bietet ein Managed Service eine gute Möglichkeit, seine eigene IT Sicherheit ohne grossen Aufwand an die heutigen Gegebenheiten anzupassen.