EDR / Grundlagen und wichtige Funktionen

EDR (Endpoint Detection and Response, Erkennung und Reaktion auf Endgeräten) erfasst und analysiert Aktivitäten auf PCs und Servern, um Bedrohungen zu erkennen und Untersuchungen sowie Maßnahmen wie die Geräteisolierung zu unterstützen. Es bewertet nicht nur einzelne Dateien, sondern verknüpft Prozesse, Kommunikation und Änderungen, um Ablauf und Ausmaß eines Vorfalls zu verstehen.

Aufgabe von EDR und Unterschied zum Virenschutz

Ein Endgerät ist ein System, auf dem Daten verarbeitet und Programme ausgeführt werden, etwa ein Mitarbeiter-PC, Notebook oder Unternehmensserver. EDR verbindet meist einen lokalen Sensor oder Agenten mit zentraler Verwaltung und Analyse. Prüfen Sie unterstützte Betriebssysteme und die Abdeckung von Servern und virtuellen Umgebungen anhand von Produkt und Vertrag.

Virenschutz konzentriert sich auf das Verhindern und Blockieren von Schadsoftware; EDR auf die Sichtbarkeit von Aktivitäten sowie Untersuchung und Reaktion nach einem möglichen Einbruch. Allerdings nutzt moderner Virenschutz ebenfalls Verhaltens- und Cloudanalysen. Die Trennung „Virenschutz nur Signaturen, EDR nur Verhalten“ ist daher unzutreffend. Beide Funktionen können in einem Produkt stecken. Die Microsoft-Übersicht zur Endgerätesicherheit beschreibt modernen Virenschutz und EDR als unterschiedliche, ergänzende Funktionen.

PowerShell ist beispielsweise ein legitimes Verwaltungswerkzeug. Ein unerwarteter Start durch eine Dokumentenanwendung mit anschließender Verbindung zu einer unbekannten Adresse liefert jedoch einen Untersuchungsanlass. Betrachten Sie Ausführungspfad, Befehlszeile, Konto und Folgeaktivitäten gemeinsam. Der Programmname oder diese Kombination allein beweist noch keine Kompromittierung.

Welche Informationen werden erfasst und verknüpft?

Für Sicherheitsanalysen erfasste Aktivitätsdaten heißen Telemetrie. Die folgenden Beispiele bedeuten nicht, dass jedes Produkt auf jedem Gerät alle Felder aufzeichnet.

• Prozesse: Pfad der ausführbaren Datei, Startzeit, Befehlszeile und Eltern-Kind-Beziehungen. Der Prozessbaum zeigt, welches Programm ein anderes gestartet hat.
• Dateien: Erstellung, Änderung, Ausführung und Datei-Hashes helfen, verdächtige Dateien und betroffene Pfade zu verfolgen. Ein Hash dient der Identifikation und dem Vergleich; der Wert allein beweist keine Schadfunktion.
• Netzwerk: Die Verknüpfung von Prozessen mit Zieladressen und Ports unterstützt die Kommunikationsanalyse. Verbindungsdaten zeigen nicht zwangsläufig sämtliche übertragenen Inhalte oder alle abgeflossenen Daten.
• Systemänderungen: Windows-Registrierung und Autostart-Einstellungen können Hinweise auf dauerhafte Ausführung liefern. Welche Daten vorliegen, hängt vom Betriebssystem ab.
• Kontoaktivitäten: Anmeldungen und ausführende Konten werden mit anderen Aktivitäten verknüpft. Organisationsweite Authentifizierungs- und E-Mail-Daten erfordern möglicherweise zusätzliche Protokolle oder Integrationen.

Zeitachse und Prozessbaum helfen, ersten Start und spätere Änderungen zu unterscheiden. Die EDR-Übersicht von Microsoft betont jedoch, dass kein vollständiges Auditprotokoll aller Vorgänge entsteht. Fehlende Belege beweisen keinen Normalbetrieb: Prüfen Sie Erfassung, Sensorzustand, Aufbewahrung und weitere Protokolle.

Wichtige Funktionen für Erkennung, Untersuchung und Reaktion

Die Bezeichnungen variieren, meist werden aber die folgenden Fähigkeiten kombiniert. Automatisierung, Freigaben und verfügbare Maßnahmen hängen von Betriebssystem, Lizenz und Richtlinien ab.

• Erkennung und Priorisierung: Verhaltensanalyse und Bedrohungsinformationen erzeugen Alarme. Zusammengehörige Alarme als Vorfall zu bündeln erleichtert Untersuchungen über mehrere Geräte hinweg. Ein hoher Schweregrad ersetzt keine Belegprüfung.
• Untersuchung und Suche: Zeitachsen, Prozessbäume und Suchabfragen klären Ursache und Umfang. Sie unterstützen auch die proaktive Bedrohungssuche nach demselben Hash oder Kommunikationsziel auf anderen Geräten.
• Eindämmung: Mögliche Maßnahmen sind Netzwerkisolierung, Prozessbeendigung und Dateiquarantäne. Dateiquarantäne verhindert die Ausführung einer Datei; Geräteisolierung beschränkt die Netzwerkkommunikation. Ziel und betriebliche Folgen unterscheiden sich.
• Maßnahmenprotokoll: Halten Sie fest, wer was angefordert hat und ob es erfolgreich, fehlgeschlagen oder ausstehend ist. Ein Klick oder eine ausgelöste automatische Richtlinie ist nicht gleichbedeutend mit bestätigtem Abschluss.

Isolierung kann die Ausbreitung begrenzen, aber auch Fernzugriff und Geschäftsdienste unterbrechen. Prüfen Sie, wie Verwaltungskommunikation erhalten bleibt, welche Einschränkungen bei virtuellen privaten Netzwerken (VPNs) und Proxys gelten und wie die Isolierung aufgehoben wird. Maßgeblich ist die Produktdokumentation, etwa die Microsoft-Anleitung zu Reaktionsmaßnahmen auf Geräten.

Beispiel: einen Alarm zu einem verdächtigen Dokument untersuchen

Dieser hypothetische Ablauf betrifft eine Dokumentenanwendung, die ein Skriptwerkzeug startet und eine externe Adresse kontaktiert. Er beschreibt keinen realen Vorfall oder Produkttest und muss an genehmigte Reaktionsverfahren angepasst werden.

1. Ziel und Zeitpunkt prüfen. Erfassen Sie Gerät, Nutzer, Alarmzeit und Zeitzone. Prüfen Sie aktuelle Sensordaten und vergleichen Sie Gerätekennungen, damit nicht ein gleichnamiges anderes Gerät untersucht wird.
2. Ausführungskontext verknüpfen. Prüfen Sie Anwendung, Kindprozesse, Befehlszeile und Ziele auf der Zeitachse. Gleichen Sie Nutzeraktivitäten und administrative Änderungen ab, um legitime Automatisierung zu bewerten. Führen Sie verdächtige Dateien nicht auf einem Arbeits-PC aus.
3. Risikogerecht eindämmen. Bei fortgesetzter Schadaktivität oder hohem Ausbreitungsrisiko bewerten Verantwortliche die betrieblichen Folgen und wählen etwa eine Isolierung. Sichern Sie nötige Belege und prüfen Sie Ergebnis und Fehlergründe.
4. Untersuchung ausweiten. Suchen Sie gleiche Dateien, Adressen und Verhaltensweisen auf weiteren Geräten und beziehen Sie Authentifizierungs- und E-Mail-Protokolle ein. Fehlende Alarme auf einem Gerät garantieren nicht die Sicherheit von Konten und anderen Systemen.
5. Wiederherstellung und Wiederauftreten prüfen. Nach Ursachenbeseitigung, nötigen Patches, Kontomaßnahmen und Wiederherstellungsprüfung wird die Isolierung gemäß Freigabeverfahren aufgehoben. Prüfen Sie Dienste und neue Alarme und dokumentieren Sie Entscheidungsgrundlagen.

Das Ergebnis sollte mehr sein als ein geschlossener Alarm. Dokumentierte Belege, betroffene Geräte und Konten, durchgeführte Maßnahmen und verbleibende Unsicherheiten ermöglichen die Übergabe an weitere Bearbeiter.

Grenzen und Probleme, die EDR nicht löst

Fehlende oder gestoppte Sensoren, Verbindungsfehler und kurze Aufbewahrung schaffen Untersuchungslücken. Legitime Verwaltung kann Alarme auslösen, während Angriffe unentdeckt bleiben können. Zu viele Ausnahmen verringern die Sichtbarkeit: Verwalten Sie Umfang, Begründung und Prüftermin.

Geräteisolierung oder Dateilöschung holt gestohlene Daten nicht zurück und stellt verschlüsselte Dateien nicht automatisch wieder her. EDR ersetzt weder Patches noch minimale Berechtigungen, Mehrfaktorauthentifizierung (MFA) oder Backups. Der Ransomware-Leitfaden von CISA, FBI und Partnern (PDF) empfiehlt ebenfalls getrennte Backups, Wiederherstellungstests und einen Reaktionsplan.

Menschen müssen Alarme untersuchen und Entscheidungen treffen. Fehlen interne Ressourcen, kann ein externer Managed-Detection-and-Response-Dienst (MDR) helfen. Legen Sie Überwachungszeiten, Eingriffsbefugnisse, Übergabe und Wiederherstellungsverantwortung vertraglich fest. Ein EDR-Kauf schließt solche Betriebsleistungen nicht automatisch ein.

Prüfkriterien vor der Einführung

Prüfen Sie über Produktlisten und beworbene Erkennungsraten hinaus, ob Ihre Organisation die Lösung betreiben kann. Eine kleine, autorisierte Testumgebung hilft, die folgenden Punkte vor der breiten Einführung zu bewerten.

• Abdeckung: Gleichen Sie PC- und Serverbestand mit unterstützten Betriebssystemen und Versionen ab. Prüfen Sie Sensorzustand und letzte Kommunikation statt nur den Installationsstatus.
• Betriebliche Folgen: Prüfen Sie CPU-, Speicher- und Datenträgernutzung, Verzögerungen und Konflikte mit echten Geschäftsanwendungen. Berücksichtigen Sie die Koexistenz mit weiteren Sicherheitsprodukten.
• Untersuchungsdaten: Prüfen Sie erfasste Felder, Such- und Aufbewahrungsfristen, Export und Protokollintegration. Da Befehlszeilen und Nutzerdaten enthalten sein können, kontrollieren Sie Zugriffsrechte und Speicherorte.
• Befugnisse und Wiederherstellung: Legen Sie Freigaben für Isolierung und Prozessbeendigung sowie den Umgang mit kritischen Servern fest. Nutzen Sie sichere Herstellertests für Alarmierung, Benachrichtigung, Maßnahmenstatus und Aufhebung der Isolierung.
• Betriebskosten: Rechnen Sie neben Lizenzen auch Alarmbearbeitung, Schulung, zusätzlichen Protokollspeicher und externe Dienste ein. Benannte Verantwortliche und Übergabeverfahren machen aus Erkennung eine tatsächliche Reaktion.