Blog

SIEM, EDR und NDR – brauchen Sie das alles?

/ Kategorie: Detect & Response

Die zunehmende Raffinesse der Bedrohungen zwingt Unternehmen dazu, für Bedrohungserkennung und Response mehrere Datenquellen zu verwenden. Security-Teams, die auf die SOC-Triade aus SIEM, EDR und NDR setzen, können Angriffe dank besserer Sichtbarkeit schneller stoppen. Diese Security-Triade bietet das höchstmögliche Schutzniveau zu den effizientesten Kosten.

ISPIN Blog - SIEM-NDR-EDR

Angesichts der fortschrittlichen Bedrohungen, denen Unternehmen heute ausgesetzt sind, stehen die IT-Security-Verantwortlichen vor der kontinuierlichen Frage nach den richtigen Strategien und Tools zum Schutz von Daten und Netzwerken. Cyberangreifer sind sehr kreativ und finden ständig neue Möglichkeiten, um in Netzwerke einzudringen und Schaden anzurichten. Um ein Unternehmen effektiv zu schützen, sind verschiedene Lösungen notwendig, die gut ineinandergreifen und nahtlos zusammenarbeiten und so eine umfassende, mehrschichtige Verteidigung bilden. Bei der Auswahl der Produkte stellt sich häufig die Frage nach Endpoint Detection & Response (EDR), Network Detection and Response (NDR) oder Security Information & Event Management (SIEM). Reicht eine der drei Lösungen? Oder ist es besser, diese zu kombinieren?

Was ist EDR?

Endpoint Detection & Response (EDR) wurde entwickelt, um Bedrohungen am Endpunkt, also an den Geräten der Mitarbeitenden, zu erkennen und darauf zu reagieren. EDR-Lösungen überwachen Netzwerkverkehr und Datenzugriffe sowie Systemaktivitäten auf Endpunkten und erstellen hieraus ein Verhaltensprofil. Aufgrund dieser Informationen können verdächtige Aktivitäten schnell erkannt werden. Darüber hinaus bieten EDR-Lösungen oft auch die Möglichkeit, automatisch auf Bedrohungen zu reagieren – zum Beispiel durch Isolation des betroffenen Endpunkts oder Löschung verdächtiger Dateien. EDR ist eine nützliche Ergänzung zu herkömmlichen Sicherheitsmassnahmen wie Firewalls und Virenschutzprogrammen, da es Bedrohungen erkennt, die andere Sicherheitsmassnahmen übersehen könnten. Es ist jedoch wichtig zu beachten, dass EDR keine vollständige Lösung für Sicherheitsprobleme darstellt. Es sollte nur als Teil einer umfassenderen Strategie zur Verhinderung und Bekämpfung von Cyberangriffen verwendet werden.

Was ist NDR?

Network Detection and Response (NDR) ist ein System, das speziell für die Erkennung und Reaktion auf Bedrohungen in einem Netzwerk konzipiert wurde. Mit Funktionen wie der Analyse des Netzwerkverkehrs und der Echtzeitprüfung der Netzwerkkommunikation können NDR-Lösungen Bedrohungen, anomale Verhaltensweisen und riskante Aktivitäten in allen Bereichen Ihres Netzwerks erkennen und untersuchen. Dabei wird ein automatisierter Ansatz verfolgt, um so schnell wie möglich auf Bedrohungen zu reagieren und diese abzuwehren. NDR-Lösungen nutzen die Stärken und praktisch unbegrenzten Möglichkeiten von High-End-KI um prädiktive Risikoanalysen durchzuführen. Die Implementierung von NDR erfordert in der Regel eine Kombination verschiedener Sicherheitsmassnahmen, sodass ein umfassender Schutz gewährleistet ist. Zudem muss NDR regelmässig überprüft und angepasst werden, um sicherzustellen, dass es immer auf dem neuesten Stand ist. Je nach Hersteller der NDR Software lassen sich solche Werkzeuge im Vergleich mit einer EDR oder SIEM Lösung deutlich schneller implementieren und mit wesentlich geringem Aufwand.

Was ist SIEM?

SIEM ist eine Lösung zur Bereitstellung von Security-Informationen aus verschiedenen Quellen in einer zentralisierten Konsole. Die Idee ist, einen einzigen Punkt zu haben, an dem Sicherheitsbedrohungen identifiziert und analysiert werden können. SIEM bietet Echtzeit-Überwachung und -Analyse von Sicherheitsdaten aus verschiedenen Quellen. Diese Quellen können Netzwerke, Hosts, Sicherheitsgeräte, Datenbanken und Anwendungslogs umfassen. SIEM verwendet Algorithmen und Korrelationstechniken, um Bedrohungsmuster zu erkennen und die Daten zu analysieren. Das Hauptmerkmal von SIEM ist die Integration von Sicherheitsinformationen aus verschiedenen Quellen in einem einzigen System. Dies bietet eine vollständigere Sicht auf das Sicherheitsumfeld und ermöglicht es den Sicherheitsanalysten, schneller auf Bedrohungen zu reagieren. Der Kernfunktionen von SIEM sind:

  • Sammeln von Daten aus verschiedenen Log-Quellen.
  • Normalisierung und Aggregation der gesammelten Daten.
  • Analyse der Daten, um Bedrohungen zu entdecken.
  • Identifizierung von Sicherheitsverstössen
  • Unterstützung Ihrer Cybersicherheitsexperten bei der Untersuchung von Warnungen.

Welches System ist besser?

EDR, NDR und SIEM wurden für unterschiedliche Zwecke konzipiert. EDR ist ein reaktives Sicherheitssystem, das auf Bedrohungen reagiert, sobald sie erkannt wurden. SIEM ist ein proaktives Sicherheitssystem, das Bedrohungen frühzeitig erkennen aber nicht bekämpfen kann da es nur als Security Log Receiver dient. EDR bietet eine detaillierte Analyse an der Quelle der Bedrohung und kann so genau sagen, wo die Bedrohung herkommt und wie sie verhindert werden kann. SIEM sammelt Daten aus verschiedenen Quellen und hilft so, mögliche Bedrohungen schneller zu erkennen. Zu den Hauptfunktionen von NDR gehören die Erkennung von Bedrohungen, die Überwachung des Netzwerks sowie die Durchführung von Gegenmassnahmen. Alle drei Lösungen liefern unterschiedliche Vorteile für die Sicherheitsabläufe in Unternehmen. Dabei hat jedes System seine eigenen Stärken und Schwächen. Die Frage ist daher nicht, welches System besser ist, sondern welches System für die Bedürfnisse im eigenen Unternehmen am besten geeignet ist bzw. ob es nicht sinnvoll ist, alle drei ergänzend zu nutzen.

Sollten Sie die Lösungen kombinieren?

Ja, denn gemeinsam können alle drei eine starke Kombination bilden, wenn es darum geht, Cyber-Bedrohungen zu bekämpfen. Alle drei Technologien bieten einzigartige Vorteile, die sich gegenseitig ergänzen und so eine umfassendere Sicherheitslösung ermöglichen. SIEM und NDR kombinieren zum Beispiel Protokolle und Netzwerkdaten. Auf diese Weise erzeugen sie aussagekräftige Warnmeldungen, die den Analysten bei ihren Untersuchungen mehr Kontext bieten. NDR ergänzt auch EDR, indem es Lücken in den EDR-Agenten schliesst. Die Kombination aus EDR und NDR erweitert und verstärkt Ihr Arsenal zur Endpunkterkennung.

Die Quintessenz? Viele Experten sind der Meinung, dass die Kombination aus EDR, NDR und SIEM der beste Sicherheitsansatz ist, den wir derzeit haben. Dennoch entscheiden sich immer noch viele Unternehmen nur für eine Lösung und ignorieren die anderen völlig. Das ist jedoch ein Fehler, denn die Kombination dieser drei Ansätze bietet eine viel höhere Sicherheit als jede Lösung für sich allein. Durch die Kombination der drei Lösungen kann jede Lösung die anderen ergänzen, wodurch die Stärken maximiert und die Schwächen minimiert werden.

Mit den ISPIN Managed Detection and Response Services holen Sie das Beste aus den Lösungen heraus

EDR, SIEM und NDR sind Schlüsselkomponenten für ein starkes Sicherheitsprogramm. Alle drei Lösungen erfordern jedoch Investitionen in Hardware, Software und Kompetenz. Da es in den meisten Unternehmen an ausreichend geschultem Personal fehlt, ist es zumeist ratsam, mit externen Experten zusammenzuarbeiten, um die Technologien richtig zu implementieren und zu nutzen. ISPIN bietet mit seinen Managed Detection and Response Services nicht nur hochqualifizierte und erfahrene Sicherheitsexperten, die Ihr Netzwerk rund um die Uhr überwachen. Unsere fortschrittlichen SIEM-, NDR- und EDR-Technologien werden durch maschinelles Lernen und Bedrohungsdaten verstärkt und ermöglichen es uns, schnell und effektiv zu reagieren. Da die vielfältigen Bedrohungen allgegenwärtig sind, analysieren, erkennen und reagieren wir 24 Stunden am Tag, an jedem Tag des Jahres. Wir fungieren als die Augen und Ohren Ihrer Sicherheitsorganisation, um Bedrohungen und sicherheitsrelevante Ereignisse in Cloud- und Hybrid-Umgebungen in Echtzeit zu erkennen. Dabei schreibt ISPIN Flexibilität gross - die MDR-Services gibt es im Paket oder jeweils für die Einzellösungen und somit anpassbar an die Anforderungen des jeweiligen Unternehmens.

Zusammen. Sicher.

Benötigen Sie Unterstützung bei der Planung, Konzeption, Implementierung, Konfiguration oder bei der Optimierung von EDR, SIEM und NDR? Wenn Sie mit einem unserer Cybersecurity Experten sprechen und mehr darüber erfahren möchten, wie Sie mit EDR, SIEM und NDR Ihr Unternehmen schützen können, kontaktieren Sie uns. Wir stehen Ihnen gerne zur Verfügung.

 

Sie haben einen Security-Notfall und brauchen Hilfe? Unser Incident Response Team ist 7x24 für Sie da.