XDR (Extended Detection and Response): Bedeutung, Funktionen und Unterschiede

Was ist XDR?

XDR steht für Extended Detection and Response, also erweiterte Erkennung und Reaktion. Das „Extended“ bezieht sich auf die Datenquellen. Während EDR nur Endgeräte überwacht, schaut XDR über den Rand hinaus.

Ein Bild: EDR ist eine Kamera in jedem Raum. XDR verbindet alle Kameras, die Zutrittskontrolle und die Alarmanlage zu einer Leitstelle. Dort sieht man, was in jedem Raum passiert und wie sich jemand durchs ganze Gebäude bewegt.

Der Begriff tauchte 2018 auf. Seitdem bieten viele Sicherheitshersteller XDR-Lösungen an.

Welche Datenquellen XDR verbindet

• Endgeräte: Laptops, PCs, Server und mobile Geräte, meist über einen EDR-Agenten.
• E-Mail: eingehende Phishing-Mails, gefährliche Anhänge und Links.
• Netzwerk: Datenverkehr und auffällige Verbindungen, etwa über Network Detection and Response (NDR) oder eine Firewall.
• Cloud: Aktivitäten in Cloud-Diensten und Cloud-Infrastruktur.
• Identitäten: Anmeldungen, Rechteänderungen und ungewöhnliches Verhalten von Benutzerkonten.

So funktioniert XDR

1. Sammeln: Sensoren in allen Bereichen liefern Daten an eine zentrale Plattform.
2. Verknüpfen: Einzelne Ereignisse werden zu einem Vorfall zusammengeführt. Aus zehn kleinen Alarmen wird ein verständlicher Angriffsablauf.
3. Erkennen: Regeln, Verhaltensanalysen und Threat Intelligence zeigen, was gefährlich ist.
4. Reagieren: Von einer Stelle aus werden Gegenmaßnahmen ausgelöst, oft automatisch: Gerät isolieren, Mail aus allen Postfächern löschen, Konto sperren.

Ein Beispiel: Eine Mitarbeiterin öffnet einen Anhang aus einer Phishing-Mail. Ihr Laptop baut danach eine Verbindung zu einem unbekannten Server auf, und kurz darauf meldet sich ihr Konto bei einem Cloud-Dienst aus einem fremden Land an. Einzeln wirken die drei Ereignisse harmlos. XDR erkennt den Zusammenhang, isoliert den Laptop, sperrt das Konto und entfernt die Mail auch aus den Postfächern der Kollegen.

XDR, EDR, SIEM und SOAR

• EDR: Erkennung und Reaktion auf Endgeräten.
• XDR: Erkennung und Reaktion über mehrere Bereiche hinweg, mit fertigen Regeln und Verknüpfungen.
• SIEM: sammelt Protokolle aus sehr vielen Quellen, korreliert sie und bewahrt sie lange auf. Wichtig auch für Compliance.
• SOAR: Security Orchestration, Automation and Response automatisiert Abläufe zwischen verschiedenen Sicherheitswerkzeugen.

Die Grenzen verschwimmen. Viele XDR-Lösungen enthalten SIEM- und SOAR-Funktionen, und viele SIEM-Lösungen bieten XDR-ähnliche Erkennung.

Native XDR und Open XDR

• Native XDR: Alle Bausteine stammen von einem Hersteller. Das ist einfacher einzurichten, bindet Sie aber an einen Anbieter.
• Open XDR (hybrid): Auch Produkte anderer Hersteller werden über Schnittstellen angebunden. Das ist flexibler und schützt bestehende Investitionen, braucht aber mehr Abstimmung.

Vorteile

• Gesamtbild: Angriffe werden über alle Bereiche hinweg sichtbar.
• Weniger Alarmflut: Verknüpfte Vorfälle statt vieler einzelner Meldungen.
• Schnellere Reaktion: Gegenmaßnahmen von einer Stelle aus, oft automatisch.
• Entlastung des Teams: Weniger Wechsel zwischen verschiedenen Konsolen.

Grenzen und Herausforderungen

• Herstellerbindung: Besonders bei Native XDR hängen Sie stark von einem Anbieter ab.
• Unklarer Begriff: „XDR“ wird im Marketing sehr unterschiedlich verwendet. Prüfen Sie, welche Quellen wirklich angebunden sind.
• Menschen bleiben nötig: Auch XDR braucht Fachleute, die Vorfälle bewerten und Regeln pflegen.
• Datenschutz: Die zentrale Sammlung vieler Daten erfordert klare Regeln für Zugriff, Zweck und Speicherdauer.

Worauf Sie bei der Auswahl achten sollten

• Quellen: Welche Bereiche sind wirklich angebunden, und welche nur über Zusatzprodukte?
• Offenheit: Lassen sich vorhandene Lösungen anderer Hersteller einbinden, etwa Ihre Firewall oder Ihr SIEM?
• Datenhaltung: Wo werden die gesammelten Daten gespeichert und wie lange?
• Automatik mit Kontrolle: Welche Gegenmaßnahmen laufen automatisch, und wo entscheidet ein Mensch?
• Betrieb: Wer bewertet die Vorfälle rund um die Uhr, Ihr eigenes Team oder ein Dienstleister?
• Kosten: Wird nach Geräten, Nutzern oder Datenmenge abgerechnet, und was kostet der Ausbau?

Starten Sie am besten mit den Bereichen, über die die meisten Angriffe kommen, also Endgeräte, E-Mail und Benutzerkonten. Weitere Quellen lassen sich dann schrittweise ergänzen.

XDR im Managed SOC

Gerade mittelständische Unternehmen haben selten ein eigenes Team, das rund um die Uhr Alarme bewertet. Das Security Operations Center von SecTepe arbeitet rund um die Uhr mit eigenem Team. Es nutzt die Schutzsoftware (EDR oder XDR), die bei Ihnen bereits läuft, und bringt die Plattform zur Auswertung mit. Für Endgeräte gibt es mit SecTepe Endpoint auch eine eigene EDR-Lösung.

Fazit

XDR erweitert EDR um Daten aus E-Mail, Netzwerk, Cloud und Identitäten. So werden Angriffe sichtbar, die über mehrere Bereiche laufen, und lassen sich zentral stoppen. XDR ersetzt aber keine Fachleute. Entscheidend ist, dass jemand die verknüpften Vorfälle bewertet und schnell handelt.