Antivirus-, EDR- und XDR-Plattformen

Die Endpoint-Sicherheit hat sich in den vergangenen 30 Jahren stark weiterentwickelt. Herkömmliche Antivirussoftware verwendete Signaturdatenbanken, um bekannte Malware zu erkennen. Als Angreifer jedoch Verschleierung und polymorphe Techniken entwickelten, reichten statische Signaturen nicht mehr aus. Dies führte zur Entwicklung von Endpoint Detection and Response (EDR), das sich auf die Verhaltensanalyse laufender Prozesse konzentriert. In jüngerer Zeit korreliert Extended Detection and Response (XDR) Telemetriedaten aus Endpoints, Netzwerken, Cloud-Workloads und E-Mails, um eine einheitliche Plattform zur Erkennung von Bedrohungen bereitzustellen.

Herkömmliche Antivirussoftware (AV) vergleicht Dateien mit einer Datenbank bekannter schädlicher Signaturen — Byte-Mustern, die für bestimmte Malware-Samples eindeutig sind. Wenn eine Datei mit einer Signatur übereinstimmt, wird sie in Quarantäne verschoben oder gelöscht. AV verwendet außerdem heuristische Analysen (die Suche nach verdächtigen Code-Mustern) und Sandboxing (das Ausführen verdächtiger Dateien in einer isolierten Umgebung). Die grundlegende Schwäche: AV reagiert nur. Neue Malware — insbesondere dateilose, polymorphe oder „Living-off-the-Land“-Angriffe — kann die Signaturerkennung vollständig umgehen, bis der Anbieter eine neue Signatur hinzufügt.

EDR-Plattformen überwachen die Aktivitäten an Endpoints kontinuierlich und zeichnen einen umfangreichen Telemetriedatenstrom auf: Prozesserstellungen, Netzwerkverbindungen, Änderungen am Dateisystem, Änderungen an der Registry und Speicherzuweisungen. Diese Telemetriedaten werden mithilfe von Verhaltensmodellen und Threat Intelligence analysiert, um Muster schädlicher Aktivitäten zu erkennen, die signaturbasierte AV-Lösungen übersehen. Wird eine Bedrohung erkannt, kann EDR den Host automatisch vom Netzwerk isolieren, schädliche Prozesse beenden und forensische Beweismittel (Speicherabbilder, Prozessbäume) für die Untersuchung sichern.

Über die Erkennung hinaus bietet EDR wichtige Response-Funktionen. Durch die Remote-Isolierung wird ein kompromittierter Host vom Netzwerk getrennt, während der EDR-Verwaltungskanal aktiv bleibt. Mit einer Remote-Shell können Analystinnen und Analysten zur Untersuchung Befehle auf dem isolierten Host ausführen. Die Prozessbeendigung beendet schädliche Prozesse. Die Dateiquarantäne verschiebt schädliche Dateien in einen isolierten Speicher. Ein Rollback kann die Verschlüsselung durch Ransomware auf unterstützten Dateisystemen rückgängig machen. EDR-Plattformen (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) bieten außerdem Oberflächen für Threat Hunting, mit denen sich Telemetriedaten proaktiv durchsuchen lassen.

XDR erweitert die Sichtbarkeit von EDR über den Endpoint hinaus, indem Telemetriedaten aus mehreren Sicherheitsebenen aufgenommen und korreliert werden: Endpoint-Agents, Tools zur Netzwerkerkennung, E-Mail-Sicherheits-Gateways, Identity-Plattformen und Sensoren für Cloud-Workloads. Durch die Korrelation von Daten aus verschiedenen Ebenen kann XDR Angriffsketten erkennen, die bei isolierter Betrachtung harmlos erscheinen — beispielsweise eine Phishing-E-Mail (E-Mail-Telemetrie) → einen Diebstahl von Zugangsdaten (Identity-Telemetrie) → laterale Bewegungen (Netzwerktelemetrie) → eine Datenexfiltration (Endpoint-Telemetrie), die zu einem einzigen Vorfall zusammengefasst werden, während isolierte Tools vier voneinander unabhängige Warnungen erzeugen würden.

MDR ist ein Servicemodell, bei dem ein Anbieter die EDR-/XDR-Technologie sowie ein Analystenteam bereitstellt, das im Auftrag des Kunden rund um die Uhr Warnungen überwacht, untersucht und darauf reagiert. MDR begegnet dem Fachkräftemangel — viele Organisationen können kein Security Operations Center (SOC) rund um die Uhr besetzen. MDR-Anbieter haben in der Regel SLAs für Warnungen (Antwort innerhalb von 15 Minuten, Eskalation innerhalb von 1 Stunde) und bieten Threat Hunting sowie monatliche Berichte. MDR besteht neben MSSP (Managed Security Service Provider), konzentriert sich jedoch speziell auf Erkennung und Reaktion statt auf allgemeines Sicherheitsmanagement.

Wenn Sie die Entwicklung der einzelnen Plattformen verstehen, hilft Ihnen das bei der Prüfung. AV: signaturbasierte und heuristische Erkennung, Quarantäne auf Dateiebene, keine Sichtbarkeit bei „Living-off-the-Land“-Angriffen. EPP (Endpoint Protection Platform): AV sowie Firewall und Gerätekontrolle in einem einzigen Agenten. EDR: kontinuierliche Verhaltenstelemetrie, Sichtbarkeit auf Prozessebene, automatisierte Reaktion, Threat Hunting. XDR: ebenenübergreifende Korrelation (Endpoint + Netzwerk + E-Mail + Cloud + Identity), einheitliche Warnungskonsole, KI-gestützte Erkennung. Viele Produkte werden inzwischen als „EDR mit XDR-Funktionen“ vermarktet, wodurch die Abgrenzung zunehmend verschwimmt.

Moderne EDR-/XDR-Plattformen nutzen Threat-Intelligence-Feeds, um Warnungen anzureichern und die Erkennung zu verbessern. Wenn ein Endpoint eine Verbindung zu einer IP-Adresse aus dem Threat-Intelligence-Feed herstellt, kann EDR den Schweregrad der Warnung automatisch erhöhen. Die IOC-Abgleichung (Datei-Hashes, IP-Adressen, Domainnamen) ermöglicht die schnelle Erkennung bekannter schädlicher Indikatoren. Die MITRE-ATT&CK-Integration versieht erkannte Techniken mit Technik-IDs (T1059.001 für PowerShell). Dadurch können Analystinnen und Analysten sofort erkennen, an welcher Stelle im Angriffslebenszyklus eine Technik eingesetzt wird und welche Abwehrmaßnahmen greifen.

Die größte betriebliche Herausforderung bei EDR/XDR ist die Warnungsmüdigkeit. Eine schlecht abgestimmte EDR-Bereitstellung kann täglich Tausende Warnungen erzeugen, von denen die meisten Fehlalarme sind. Eine effektive EDR-Verwaltung erfordert: das Feinabstimmen von Erkennungsregeln, um Fehlalarme bei bekannten legitimen Verhaltensweisen zu reduzieren (Skripte zur Softwareverteilung, IT-Administrationswerkzeuge), das Erstellen von Ausnahmen für vertrauenswürdige Prozesse und Pfade sowie eine gestaffelte Warnungsschwere, damit Analystinnen und Analysten zuerst Warnungen mit hoher Priorität bearbeiten. In jedem Erkennungsprogramm ist die Qualität der Warnungen wertvoller als ihre Anzahl.

Hochentwickelte Angreifer versuchen aktiv, der EDR-Erkennung zu entgehen. Zu den verbreiteten Techniken gehören: Prozessinjektion (Einschleusen schädlichen Codes in legitime Prozesse wie explorer.exe, um ihn zu verbergen), Unhooking (Entfernen von EDR-API-Hooks aus dem Speicher, um die Überwachung zu verhindern), LOLBins (Verwenden vertrauenswürdiger System-Binärdateien, um eine hashbasierte Erkennung zu umgehen) und direkte Systemaufrufe (vollständiges Umgehen der Win32-API-Ebene). Sicherheitsteams sollten regelmäßig EDR-Umgehungssimulationen (Atomic Red Team, MITRE Caldera) durchführen, um zu überprüfen, ob ihre Sicherheitsmaßnahmen diese Techniken erkennen.

Über die Technologie hinaus erfordert eine effektive Endpoint-Sicherheit Richtlinienentscheidungen, die von EDR-Tools durchgesetzt werden. Die Kontrolle von USB-Geräten blockiert nicht autorisierte Wechseldatenträger. Application Allowlisting verhindert die Ausführung nicht autorisierter Software. Webinhaltsfilterung am Endpoint erkennt schädliche Downloads auch außerhalb des VPN. Der Manipulationsschutz verhindert, dass Angreifer mit lokalen Administratorrechten den EDR-Agenten deaktivieren. Organisationen sollten außerdem Richtlinien zur akzeptablen Nutzung von Endpoints festlegen und diese über MDM oder Group Policy durchsetzen. So entsteht eine zweite Verteidigungslinie, wenn technische Kontrollen umgangen werden.

In dieser Lektion haben Sie Folgendes gelernt: Herkömmliches AV stützt sich auf Signaturen und Heuristiken und kann verhaltensbasierte oder dateilose Bedrohungen nicht erkennen. EDR stellt kontinuierliche Verhaltenstelemetrie, Erkennung und automatisierte Reaktionen einschließlich der Host-Isolierung bereit. XDR erweitert EDR, indem es Telemetriedaten aus den Ebenen Endpoint, E-Mail, Netzwerk, Identity und Cloud für eine einheitliche Erkennung von Sicherheitsvorfällen korreliert. Als Nächstes befassen wir uns mit Techniken zur Härtung von Betriebssystemen und CIS-Benchmarks.