Ein Angriff beginnt oft mit einer Phishing-Mail, setzt sich mit einer übernommenen Identität fort und endet auf einem Server. Einzelne Schutzprodukte sehen jeweils nur einen Ausschnitt. XDR führt diese Ausschnitte zusammen. Eine genormte Definition gibt es nicht; der Begriff stammt aus dem Markt der Sicherheitshersteller und bezeichnet eine Weiterentwicklung von Endpoint Detection and Response.
Wie funktioniert XDR?
- Signale sammeln: Sensoren auf Endgeräten, im E-Mail-Dienst, beim Identitätsanbieter und in Cloud-Anwendungen liefern Ereignisse an eine gemeinsame Plattform.
- Korrelieren: Die Plattform erkennt, dass eine verdächtige Mail, eine ungewöhnliche Anmeldung und ein auffälliger Prozess zusammengehören, und fasst die Alarme zu einem Vorfall (Incident) zusammen.
- Untersuchen: Automatische Analysen bewerten Dateien, Prozesse und Konten. Fachleute können die Rohdaten gezielt durchsuchen (Threat Hunting).
- Reagieren: Gegenmaßnahmen wie Quarantäne, Gerät isolieren, Prozess beenden oder Link sperren laufen je nach Einstellung automatisch oder erst nach Freigabe.
Ein verbreitetes Beispiel ist Microsoft Defender XDR. Microsoft beschreibt es als einheitliche Abwehr für Endpunkte, Identitäten, E-Mail und Anwendungen; korreliert werden nur Produkte, die lizenziert und eingerichtet sind. Mit der automatischen Unterbrechung von Angriffen (Automatic Attack Disruption) kann die Plattform laufende Angriffe bei eindeutigen Signalen selbstständig eindämmen. Mehr dazu im Eintrag Microsoft Defender.
XDR, EDR, SIEM und MDR
- EDR überwacht Endgeräte. XDR erweitert den Blick auf weitere Bereiche.
- Ein SIEM sammelt Protokolle aus beliebigen Quellen, auch aus Firewalls oder Fachanwendungen, und eignet sich für Langzeitauswertung und Nachweise. XDR ist meist enger an die Produkte eines Herstellers gebunden. Die US-Behörde CISA beschreibt, wie sich SIEM- und XDR-Daten an einem Ort gemeinsam abfragen lassen; viele Organisationen kombinieren beides.
- MDR (Managed Detection and Response) ist kein Produkt, sondern ein Dienst: Ein externes Team bewertet die Alarme und reagiert, oft im Rahmen eines Security Operations Center.
Praxis für KMU und Gemeinden
Viele kleinere Organisationen nutzen bereits Microsoft 365 und haben Teile einer XDR-Plattform lizenziert, ohne sie vollständig einzusetzen. Prüfen Sie zuerst, welche Komponenten vorhanden sind und ob alle Geräte, Postfächer und Konten angebunden sind. Entscheidend ist dann, wer Alarme bewertet, auch nachts und am Wochenende. Eine XDR-Plattform ohne zuständige Menschen erzeugt Meldungen, aber keine Sicherheit.
Risiken und typische Fehler
- Lücken in der Anbindung: Nicht angebundene Server, Fremdsysteme oder Netzwerkgeräte bleiben unsichtbar.
- Automatik ohne Plan: Automatische Reaktionen müssen getestet und abgestimmt sein, damit sie nicht den Betrieb stören.
- Abhängigkeit vom Hersteller: Daten und Regeln sind oft an eine Plattform gebunden.
- Datenschutz: Die gesammelten Ereignisse enthalten personenbezogene Daten; Zweck, Speicherdauer und Zugriffe sind festzulegen, siehe DSGVO.
Bezug zu TOMORIS
EXPERTS Cyber Security setzt Microsoft Defender und Identitätsschutz um und bereitet Erkennung, Meldung und Reaktion gemeinsam mit Ihrem Team vor. Hintergrund zu Bedrohungsinformationen bietet der Eintrag Threat Intelligence.