EDR vs. SIEM: Unterschiede, Vorteile und Anwendungsfälle

Was ist EDR?

EDR-Tools sammeln Informationen und Daten von allen Endpunkten, auf denen sie eingesetzt werden – von virtuellen und physischen Servern bis hin zu Notebooks und Mobilgeräten. Ihr Ziel ist es, verdächtiges Verhalten in Echtzeit zu erkennen oder drohende Bedrohungen zu lokalisieren.

Ein gutes EDR-System kann eine Sicherheitsverletzung an einem Endpunkt eindämmen. Es erfüllt einige der gleichen Funktionen wie ein Antivirenprogramm, jedoch auf einem höheren Niveau.

Ein EDR-System sollte Folgendes leisten:

• Analyse großer Datenmengen. EDR-Systeme – die sowohl auf KI als auch auf maschinellem Lernen (ML) aufbauen – sind auf die Verarbeitung großer Datenmengen angewiesen. Sie aktualisieren ihre Bedrohungsvektor-Datenbanken ohne manuelles Eingreifen. Je mehr Informationen Unternehmen also in diese Systeme einspeisen, desto besser ist die Reaktion.
• Reaktion mit verwertbaren Informationen. Ein gutes EDR-System kann Vorfälle schnell und effizient melden und die folgenden drei wesentlichen Informationen bereitstellen:
  - Vermutete Ursache des Vorfalls.
  - Die Angriffskette, die zu einer Sicherheitsverletzung geführt hat.
  - Damit zusammenhängende Informationen.
• Koordinierte Reaktion. EDR-Tools sollten mit anderen Sicherheitstools zusammenarbeiten, damit Sicherheitsteams schnell auf Sicherheitsverletzungen reagieren können, indem sie die erforderlichen Skripte ausführen, sofortigen Zugriff auf infizierte Endpunkte gewähren, Host-Wiederherstellungsprozesse einleiten und im Falle von Ransomware-Angriffen Registrierungseinstellungen und Dateien wiederherstellen.
• Vollständige Kontrolle bieten. EDR-Systeme sollten Sicherheitsteams vollständigen und umfassenden Zugriff auf betroffene Endpunkte gewähren. Ihre Fähigkeit, latente Beweise zu sammeln, unterstützt forensische Untersuchungen.

Vorteile von EDR

Zu den wichtigsten Vorteilen von EDR-Tools gehören:

• Erkennung von Sicherheitsverletzungen. Ein umfassendes EDR-System liefert Anzeichen für eine Sicherheitsverletzung, bevor diese eintritt, und schützt so Unternehmen vor langen Ausfallzeiten und hohen Kosten.
• Schnelle Reaktion. Bei einem Sicherheitsverstoß lösen EDR-Tools eine koordinierte Reaktion aus, die Sicherheitsteams dabei helfen soll, den Vorfall einzudämmen, bevor weiterer Schaden entsteht.
• Einhaltung von Standards und Vorschriften. Die mit EDR-Tools gesammelten Informationen und Daten ermöglichen es Sicherheitsteams, sich ein besseres Bild davon zu machen, wo Schwachstellen und Sicherheitslücken bestehen. EDR-Tools können auch Empfehlungen zur Behebung dieser Schwachstellen geben und so die Wahrscheinlichkeit einer erfolgreichen Datenexfiltration verringern. Dies hilft Unternehmen dabei, bestehende Vorschriften wie die DSGVO einzuhalten und sich für eine Cyberversicherung zu qualifizieren.

Was ist SIEM?

SIEM-Plattformen kombinieren Security Information Management (SIM) und Security Event Management (SEM). Sie sammeln und analysieren alle Protokolldateien, die von Sicherheitsgeräten wie Firewalls, Intrusion-Detection-Systemen und Routern generiert werden. Anschließend alarmieren sie die Sicherheitsteams bei ungewöhnlichen Verhaltensmustern sowie bei eingehenden Bedrohungen. Die relevanten Informationen und Daten werden dann in der Regel über ein zentrales Dashboard dargestellt.

Heutige SIEM-Plattformen werden zunehmend durch KI und ML unterstützt, wodurch sie Fehlalarme effektiver filtern und die Alarmmüdigkeit reduzieren können.

Funktionen von SIEM

Eine sinnvolle SIEM-Plattform umfasst folgende Komponenten:

• Erfassung und Verwaltung von Protokollen. SIEM-Plattformen sollten die von allen eingesetzten Sicherheitstools generierten Protokolldaten aggregieren. Dazu müssen sie herstellerunabhängig sein. Außerdem sollten sie die Daten korrelieren und anhand dieser Korrelationen die Angriffssignaturen potenzieller Malware-Varianten veranschaulichen. SIEM-Systeme sollten außerdem Protokolldateien für zukünftige Audits durch Datenschutzbehörden über einen langen Zeitraum archivieren.
• Automatisierung. Wenn eine Sicherheitsverletzung auftritt, ist die erste Priorität einer Organisation, wie sie darauf reagiert. Sie sollte über einen gut dokumentierten und eingeübten Plan für die Reaktion auf Vorfälle sowie über eine SIEM-Plattform verfügen, die alle in diesem Plan enthaltenen Verfahren automatisiert. Beispielsweise die Abfolge von Playbooks, um die Bedrohung einzudämmen.
• Verwaltung privilegierter Zugriffe (PAM, Privileged Access Management). SIEM-Plattformen müssen alle Konten mit privilegierten Zugriffsrechten überwachen und Sicherheitsteams automatisch über jeden Missbrauch informieren. SIEM-Plattformen sollten außerdem ruhende oder inaktive Konten deaktivieren und alle Konten deaktivieren, die möglicherweise kompromittiert wurden.
• Analyse des Verhaltens von Benutzern und Entitäten (UEBA). SIEM-Plattformen sollten UEBA unterstützen, um das Benutzerverhalten zu überwachen. Wenn ein Mitarbeiter versucht, ohne ausreichende Berechtigungen auf eine Ressource zuzugreifen, gibt die SIEM-Plattform eine Warnmeldung aus. Außerdem sollte sie potenzielle Fälle von Schatten-IT erkennen.

Vorteile von SIEM

Zu den wichtigsten Vorteilen einer SIEM-Plattform gehören:

• Bessere Kennzahlen. Mit einer SIEM-Plattform, die auf KI und ML basiert, sollten sich die Kennzahlen für die durchschnittliche Erkennungszeit (MTTD) und die durchschnittliche Reaktionszeit (MTTR) deutlich verbessern.
• Geringere Kosten. Cloud-basierte SIEM-Plattformen vereinfachen die Bereitstellung und Verwaltung der Technologie. SIEM as a Service ermöglicht es Unternehmen, schnell auf veränderte Sicherheitsanforderungen zu reagieren und ihre Kapazitäten entsprechend zu skalieren.
• Konsolidierung. SIEM-Plattformen stellen Berichte und Leistungsdaten an einem zentralen Ort bereit und tragen so dazu bei, organisatorische Silos zu beseitigen, die die Strategien zur Reaktion auf Vorfälle verlangsamen können.

Sollten Unternehmen EDR, SIEM oder beides einsetzen?

EDR-Tools und SIEM-Plattformen sammeln Daten und Telemetrie aus mehreren Quellen zur Analyse, bieten eine gewisse Form der automatisierten Reaktion und erstellen Warnmeldungen für die Nachverfolgung durch das Sicherheitsteam.

Die Sicherheits-Tools sind jedoch nicht austauschbar. EDR-Tools bieten mehr Reaktionsfähigkeiten, während SIEM-Plattformen hauptsächlich zur Identifizierung von Bedrohungen dienen und nur über begrenzte Reaktionsfähigkeiten verfügen.

Durch den gemeinsamen Einsatz von EDR-Tools und SIEM-Plattformen können Unternehmen Endpunkte und Netzwerke schützen, gleichzeitig eine bessere Transparenz erzielen und die Reaktion auf Vorfälle sowie die umfassende Datenerfassung automatisieren.