Was ist XDR?

Eine XDR-Lösung wird als „nativ“ oder „hybrid“ bezeichnet, je nachdem, ob die Quellen für ihre Telemetriedaten aus dem Portfolio desselben Anbieters oder von verschiedenen Anbietern stammen. Auf dem Cybersicherheitsmarkt gibt es inzwischen „Managed XDR-Lösungen“ als neue Servicepakete.

Native XDR-Lösungen

Diese XDR-Lösungen zeichnen sich durch eine hohe Integration und Optimierung im Zusammenspiel zwischen den einzelnen Komponenten aus, da die Datenquellen und die Software zu deren Verwaltung vom selben Anbieter stammen. Diese XDR-Variante führt zu einer besseren Erkennung und Reaktion auf Sicherheitsvorfälle, was eine geringere Belastung für die Sicherheitsteams und SOCs bewirkt, da ein einzelner Anbieter für die Erkennung und Abhilfemaßnahmen auf der Managementseite – aber vor allem auch für die Erstellung und Pflege der Integration aller Datenquellen – zuständig ist. Während sofort einsetzbare, vorkonfigurierte Integrationen für die meisten Unternehmen ideal geeignet sind, haben andere, die über Sicherheitsteams oder SOCs mit hohem Budget verfügen, möglicherweise den Einwand, dass diese Lösungen nur begrenzt mit ihrer sehr heterogenen Infrastruktur kompatibel sind. Diese großen Unternehmen neigen deshalb dazu, eine hybride XDR-Lösung in Betracht zu ziehen, die mit der bei ihnen bereitgestellten, hochkomplexen und kostspieligen SIEM-Lösung (Security Information and Event Management) kompatibel ist.

Hybride (oder offene) XDR-Lösungen

Diese Lösungen sind so konzipiert, dass sie sich unabhängig vom jeweiligen Anbieter in eine breite Palette von Sicherheitsprodukten und -services integrieren lassen. Sie eignen sich gut für Unternehmen, die über heterogene Sicherheitstools verfügen, denn eine hybride XDR-Lösung kann Daten aus mehreren Quellen aggregieren und analysieren. So entsteht eine umfassende Sicht auf die Sicherheitslandschaft. Der Nachteil ist, dass das Unternehmen für die Integration in allen ihren Facetten zuständig ist. Wenn in Ihrem Unternehmen grundsätzlich kein SIEM verwendet werden soll, ist eine hybride XDR-Lösung wahrscheinlich nicht gut geeignet, da keine so tiefgehende und auch schnell implementierbare Analyse möglich ist wie mit einer nativen XDR-Variante. Wenn Sie ein jedoch über ein dediziertes SOC (Security Operations Center) und ein breit aufgestelltes Team verfügen, ist ein hybrides XDR ideal für Ihr Unternehmen geeignet.

MDR (Managed XDR)

XDR-Services, die von einem Drittanbieter angeboten und betrieben werden, sind oft Teil eines umfassenderen Managed Security Service, daher das Akronym MDR (Managed Detection and Response). Neben der erforderlichen Technologie bietet eine MDR-Lösung auch menschliches Fachwissen zur Überwachung, Verwaltung und Reaktion auf Bedrohungen. Eine solche Lösung ist für Unternehmen sinnvoll, die nicht über die internen Ressourcen oder das Know-how verfügen, um eine eigene XDR-Cybersicherheitslösung zu betreiben.

Mit einem die ganze IT-Umgebung umfassenden Ansatz stellt XDR eine wichtige Weiterentwicklung in der Cybersicherheit dar. EDR-Lösungen haben die Cybersicherheit in vielen Unternehmen zwar deutlich verbessert, verarbeiten aber ausschließlich Endpoint-Daten, sodass sie nur eine eingeschränkte Sicht auf die IT-Umgebung bieten. Mit SIEM-Lösungen lassen sich zwar Protokolldaten aus einer Vielzahl von Systemen aggregieren und analysieren, aber hier fehlt der Kontext.

XDR kombiniert die Vorteile beider Systeme und bietet leistungsfähige Analysen, Automatisierung und eine umfassendere Datenintegration. Die folgenden Vergleiche zeigen, warum die XDR-Technologie ein so leistungsstarkes Tool für Unternehmen ist und wie genau sie im Vergleich zu anderen Lösungen abschneidet.

XDR im Vergleich zu EDR

EDR (Endpoint Detection and Response) ist auf die Überwachung und Reaktion auf Bedrohungen auf Endpoints ausgerichtet. Diese umfasst Desktops, Laptops und andere Geräte. Während EDR-Lösungen Signale von Endpoints erfassen und sammeln, erweitert XDR den Überwachungsbereich durch die Integration von Daten aus einer Vielzahl von unterschiedlichen Quellen wie Netzwerken, Clouds, Identitäten und Anwendungen. Dies bietet noch mehr Sicherheit und ermöglicht es der XDR-Lösung, unauffällige Bedrohungen zu identifizieren, die mit EDR alleine möglicherweise übersehen würden.

XDR im Vergleich zu MDR

MDR (Managed Detection and Response) umfasst eine Reihe von Services, die den Unternehmen Bedrohungsüberwachung und -reaktion einschließlich der zugehörigen Verwaltung bieten. Die Services setzen häufig auf XDR-Technologie-Stacks auf. Ein XDR-Tool-Stack automatisiert sicherheitsrelevante Aufgaben und trägt so zu einer erhöhten Produktivität der Analysten bei. Er eignet sich für Unternehmen, die ein internes SOC (Security Operations Center) betreiben. Wenn ein Unternehmen nicht über genügend spezialisierte Analysten oder ein SOC verfügt, um die Vorteile von XDR voll auszuschöpfen, kann es die MDR-Services (Managed Detection and Response) nutzen. Über den MDR-Service stehen den Unternehmen ein Rund-um-die-Uhr-Support und Experten-Fachwissen zur Verfügung, auf die die meisten von ihnen sonst keinen direkten Zugriff hätten. Dabei werden die aus einem XDR-Tool-Stack gewonnenen Erkenntnisse mit globaler Threat Intelligence (TI) und der Anwendung von menschlichem Know-how und technologischen Tools kombiniert.

XDR im Vergleich zu SIEM

SIEM (Security Information and Event Management) aggregiert und analysiert Protokolldaten und identifiziert Sicherheitsbedrohungen anhand von vordefinierten Regeln. In der Regel fehlen hierbei eine automatisierte Analyse der Sicherheitsvorfälle sowie geführte Abhilfemaßnahmen. XDR kann SIEM um Echtzeitüberwachung und erweiterte Analysen zur Bedrohungserkennung sowie automatisierte Abhilfemaßnahmen ergänzen.

XDR (Extended Detection and Response) ist eine logische Weiterentwicklung von EDR (Endpoint Detection and Response). Etwa seit 2010 war allgemein bekannt, dass herkömmliche Virenschutzlösungen immer unzureichender wurden, da die Angreifer ausgeklügelte Methoden entwickelten, um die herkömmlichen Abwehrmaßnahmen zu umgehen. So entstanden die EDR-Lösungen. Dieser Ansatz bot umfassendere Erkennungs- und Reaktionsfunktionen, indem Signale von mehreren Endpoints kombiniert wurden. Aber zur Abwehr komplexer Bedrohungen reichte das noch nicht aus.  

Die ersten Erwähnungen des Begriffs „XDR“ reichen bis etwa ins Jahr 2018 zurück. Dies war ein großer Schritt bei der Weiterentwicklung der Cybersicherheitslösungen, um der wachsenden Komplexität von Cyberbedrohungen und den Angriffen über mehrere Vektoren gerecht zu werden. Eine XDR-Lösung war und ist aber kein eigenständiges Tool. Vielmehr handelt es sich bei XDR um ein Konzept, bei dem verschiedene bestehende Cybersicherheitstools integriert werden. Dabei werden Komponenten wie NTA (Network Traffic Analysis), Systeme zur Erkennung und Verhinderung von Eindringversuchen und Cloud-Integrationen miteinander kombiniert – so können unzählige Datenfeeds in einer Lösung untersucht werden.

Es war klar, dass mit der Weiterentwicklung von Cyberbedrohungen, die mehrere Angriffsvektoren und Einstiegspunkte nutzen, ganzheitlichere Ansätze mit einem höheren Integrationsgrad erforderlich waren. XDR wurde entwickelt, um diese Lücke zu schließen: Es bietet eine umfassende Sicht über verschiedene IT-Umgebungen hinweg, einschließlich Endpoints, Netzwerke, Cloud-Dienste, Identitäten und Anwendungen.

Anfang 2022 brachte Bitdefender eine eigene native XDR-Lösung auf den Markt, um die Effektivität und Effizienz der Sicherheitsteams zu maximieren, die Verweildauer der Angreifer zu verkürzen und die Cyberresilienz der Unternehmen zu verbessern.