XDR

XDR: Extended Detection and Response einfach erklärt

XDR steht für Extended Detection and Response. Der Sicherheitsansatz verbindet Ereignisse und Telemetriedaten aus mehreren Bereichen der IT-Infrastruktur, um Cyberangriffe über einzelne Systeme hinweg zu erkennen, zu untersuchen und einzudämmen.

Je nach Plattform können unter anderem Daten aus Endgeräten, Identitäten, E-Mail-Systemen, Cloud-Diensten, Servern und Netzwerken zusammengeführt werden. Dadurch erhalten Sicherheitsteams einen umfassenderen Blick auf einen möglichen Angriff als mit isolierten Einzellösungen.

Wie funktioniert XDR?

Ein Angriff betrifft häufig nicht nur ein einziges System. Ein Angreifer kann beispielsweise zunächst eine Phishing-Mail versenden, anschließend Zugangsdaten übernehmen, sich bei einem Cloud-Dienst anmelden und schließlich Schadsoftware auf einem Endgerät ausführen.

Getrennte Sicherheitslösungen erzeugen dabei möglicherweise mehrere einzelne Warnmeldungen. Eine XDR-Plattform versucht, diese Ereignisse miteinander zu verbinden und als zusammenhängenden Sicherheitsvorfall darzustellen.

Ein typischer Ablauf ist:

Sicherheitsdaten werden aus mehreren Quellen gesammelt.
Ereignisse werden vereinheitlicht und analysiert.
Zusammengehörige Aktivitäten werden korreliert.
Verdächtige Ereignisse werden zu einem Vorfall zusammengefasst.
Analysten erhalten zusätzlichen Kontext und Handlungsempfehlungen.
Geeignete Gegenmaßnahmen können manuell oder automatisiert ausgeführt werden.

Welche Datenquellen kann XDR einbeziehen?

Abhängig vom Hersteller und der eingesetzten Plattform kann XDR Informationen aus verschiedenen Sicherheitsbereichen verarbeiten:

Arbeitsplatzcomputer und Server
Benutzerkonten und Identitätsdienste
E-Mail- und Kollaborationssysteme
Cloud-Anwendungen und Cloud-Infrastrukturen
Firewalls und Netzwerkgeräte
Web- und Proxy-Systeme
Endpoint-Sicherheitslösungen
Anwendungen und Datenbanken
Threat-Intelligence-Quellen

Der Funktionsumfang unterscheidet sich erheblich zwischen verschiedenen XDR-Produkten. Nicht jede Plattform bindet alle Datenquellen gleichermaßen tief ein.

Was ist der Unterschied zwischen XDR und EDR?

EDR steht für Endpoint Detection and Response. Eine EDR-Lösung überwacht vor allem Endgeräte und Server.

Sie analysiert beispielsweise:

gestartete Prozesse
ausgeführte Dateien
Änderungen an Systemeinstellungen
Netzwerkverbindungen
Anmeldeaktivitäten
verdächtiges Verhalten auf dem Gerät

XDR erweitert diesen Ansatz um zusätzliche Bereiche wie Identitäten, E-Mail, Cloud und Netzwerk.

Vereinfacht dargestellt:

EDR betrachtet hauptsächlich Endpoints.
XDR verbindet Ereignisse aus mehreren Sicherheitsbereichen.

EDR kann ein Bestandteil einer XDR-Plattform sein.

XDR und SIEM im Vergleich

Ein SIEM sammelt und analysiert Protokolldaten aus möglichst vielen Systemen. Es eignet sich besonders für zentrale Überwachung, langfristige Speicherung, individuelle Erkennungsregeln und forensische Untersuchungen.

XDR konzentriert sich stärker auf die Erkennung und Bearbeitung konkreter Bedrohungen. Häufig verwendet es besonders detaillierte Daten aus Sicherheitsprodukten desselben Herstellers oder einer eng integrierten Plattform.

Typische Unterschiede sind:

Ein SIEM verarbeitet sehr unterschiedliche Protokollquellen.
XDR nutzt häufig tief integrierte Sicherheitstelemetrie.
SIEM bietet meist umfangreiche Möglichkeiten für individuelle Analysen.
XDR fasst Sicherheitswarnungen häufig automatisch zu Vorfällen zusammen.
XDR kann direkte Reaktionsfunktionen in angebundenen Systemen bereitstellen.

Beide Ansätze können zusammen eingesetzt werden. XDR liefert dann detaillierte Sicherheitsereignisse an das SIEM, während das SIEM zusätzliche Systeme und langfristige Daten einbezieht.

Was bedeuten Native XDR und Open XDR?

Bei Native XDR stammen die verbundenen Sicherheitsprodukte überwiegend von einem gemeinsamen Hersteller. Dadurch können Datenmodelle und Reaktionsfunktionen besonders eng integriert sein.

Open XDR soll dagegen Sicherheitslösungen verschiedener Anbieter einbinden. Dieser Ansatz kann bestehende Werkzeuge besser berücksichtigen, ist jedoch stärker von Schnittstellen und der Qualität der jeweiligen Integration abhängig.

Die Bezeichnungen werden von Herstellern nicht immer einheitlich verwendet. Unternehmen sollten deshalb den tatsächlichen Funktionsumfang und nicht nur die Produktkategorie bewerten.

Welche Reaktionsmaßnahmen sind möglich?

Je nach angebundenem System kann eine XDR-Plattform beispielsweise:

ein Endgerät vom Netzwerk isolieren
eine schädliche Datei blockieren
einen Prozess beenden
ein Benutzerkonto sperren
aktive Sitzungen widerrufen
eine E-Mail aus Postfächern entfernen
eine Domain oder IP-Adresse blockieren
ein Ticket oder einen Incident erstellen

Nicht jede erkannte Bedrohung sollte vollständig automatisch behandelt werden. Besonders weitreichende Maßnahmen benötigen klare Regeln, Freigaben und Möglichkeiten zur Rücknahme.

Welche Vorteile bietet XDR?

XDR kann Unternehmen dabei unterstützen:

zusammenhängende Angriffsschritte schneller zu erkennen
Sicherheitswarnungen mit zusätzlichem Kontext anzureichern
die Anzahl isolierter Einzelmeldungen zu reduzieren
Untersuchungen zu beschleunigen
betroffene Benutzer und Systeme schneller zu ermitteln
Reaktionsmaßnahmen zentral einzuleiten
die Arbeit eines Security Operations Centers zu unterstützen
Angriffe über Cloud-, Identitäts- und Endpoint-Grenzen hinweg zu verfolgen

Eine gute Korrelation kann die Alarmflut reduzieren. Sie verhindert jedoch nicht automatisch Fehlalarme oder übersehene Angriffe.

Welche Herausforderungen gibt es?

Die Einführung einer XDR-Plattform kann mit mehreren Herausforderungen verbunden sein:

Abhängigkeit vom jeweiligen Hersteller
unvollständige Integration vorhandener Sicherheitsprodukte
unterschiedliche Datenqualität
fehlende oder falsch konfigurierte Datenquellen
notwendige Anpassung von Erkennungsregeln
weitreichende administrative Berechtigungen
Datenschutz bei zentraler Ereignisverarbeitung
Schulungsbedarf für Analysten
Kosten für Lizenzen und Betrieb

XDR ersetzt außerdem keine grundlegenden Sicherheitsmaßnahmen wie Patch Management, sichere Konfigurationen, Multi-Faktor-Authentifizierung oder getestete Backups.

XDR und MDR im Vergleich

XDR ist eine technische Plattform beziehungsweise ein Sicherheitsansatz.

MDR, also Managed Detection and Response, ist eine betreute Sicherheitsdienstleistung. Dabei übernehmen externe Analysten die Überwachung, Bewertung und je nach Vertrag auch die Reaktion auf Bedrohungen.

Ein MDR-Anbieter kann für seine Arbeit eine XDR-Plattform einsetzen. Entscheidend ist, welche Leistungen, Überwachungszeiten und Reaktionsbefugnisse vertraglich vereinbart sind.

Fazit

XDR verbindet Sicherheitsdaten aus mehreren Bereichen und stellt zusammenhängende Angriffsschritte als zentrale Vorfälle dar. Dadurch können Bedrohungen schneller untersucht und geeignete Gegenmaßnahmen eingeleitet werden.

Der Begriff XDR ist jedoch nicht einheitlich standardisiert. Unternehmen sollten daher prüfen, welche Datenquellen eine Plattform tatsächlich integriert, welche Reaktionsmöglichkeiten bestehen und wie gut sie zur vorhandenen Sicherheitsarchitektur passt.