Im Bereich der Cybersicherheit ist es üblich, eine Vielzahl von Akronymen mit zwei, drei oder sogar vier Wörtern zu verwenden. Wenn Sie neu in diesem Bereich sind, können diese Akronyme, gelinde gesagt, verwirrend sein. Um Ihnen die Arbeit zu erleichtern, haben wir diesen Leitfaden erstellt! Er erklärt einige der wichtigsten Begriffe im Bereich der Vorfallserkennung und -reaktion, einem Schlüsselbereich für die Sicherung der digitalen Vermögenswerte eines Unternehmens.
Entdecken Sie die Antworten auf diese Fragen:
Endpoint Detection and Response (EDR) oder Endpunkterkennung und -reaktion ist eine Lösung, die Cyberbedrohungen auf Endgeräten wie PCs, Laptops oder Servern erkennen und untersuchen soll. Im Gegensatz zu Antivirensoftware erkennt EDR Cyberbedrohungen nicht nur, indem es Dateien nach Virensignaturen scannt, sondern untersucht auch das Verhalten der Endgeräte. Wenn ein verdächtiges Verhalten entdeckt wird, alarmiert das Tool das IT-Sicherheitsteam und schlägt Korrekturmaßnahmen vor. Das EDR-Tool kann auch automatisierte Reaktionen zur Mitigation wie die Isolierung von Endpunkten bereitstellen.
EDR umfasst Folgendes:
Extented Detection and Response (XDR) stellten die Weiterentwicklung der EDR-Lösung dar. XDR erweitert die Reichweite der Erkennung über die Endpunkte hinaus – durch die Bereitstellung von Erkennung, Analyse und Reaktion über mehrere Datenquellen hinweg. XDR sammelt Daten und analysiert das Verhalten aller IT-Schichten und -Anwendungen. Dazu gehören neben den Endgeräten auch Netzwerkkomponenten und Cloud-Dienste. Auf diese Weise schafft XDR eine ganzheitliche Sicht auf die IT-Sicherheit und mögliche Cyberbedrohungen, was die Ermittlungs- und Reaktionsaktivitäten vereinfacht.
XDR umfasst :
Security Information and Event Management (SIEM) ist eine Lösung, die es Organisationen ermöglicht, Daten aus dem Computernetzwerk zu zentralisieren, zu korrelieren und zu analysieren, um Sicherheitsprobleme zu erkennen. Die Hauptfunktionen des SIEM umfassen die Verwaltung und Zentralisierung von Protokollen, die Erkennung von Sicherheitsereignissen sowie Berichts- und Suchfunktionen. Es ermöglicht Analysten, Protokoll- und Ereignisdaten zu untersuchen sowie Sicherheitsdaten für Compliance- und Audit-Zwecke zu verfolgen und aufzuzeichnen.
Mit einer SIEM-Lösung können IT-Sicherheitsteams:
Security, Orchestration, Automation and Response (SOAR) ist eine Lösung, die SIEM-Plattformen ergänzt und unterstützt. SOAR zielt darauf ab, die Ereignisdaten zu erweitern, die Identifizierung kritischer Vorfälle zu vereinfachen und die Reaktion auf bestimmte Ereignisse oder Auslöser zu automatisieren. Ziel ist es, Bedrohungen nur dann zu eskalieren, wenn ein menschliches Eingreifen erforderlich ist.
Mit SOAR-Lösungen können IT-Sicherheitsteams:
Beide Lösungen sammeln sicherheitsrelevante Informationen aus verschiedenen Bereichen. Ihre Hauptfunktionen sind jedoch sehr unterschiedlich. SIEM konzentriert sich auf die Analyse der gesammelten Daten, die Erkennung von Bedrohungen und die Verbreitung von Warnungen. SOAR hingegen konzentriert sich auf die Generierung automatisierter Reaktionen auf die gesammelten Informationen. SIEM-Lösungen sind sehr effektiv bei der Erkennung von Cyberangriffen, erfordern aber zur Abwehr manuelle Eingriffe von Sicherheitsanalysten. SOAR kann viel unabhängiger arbeiten.
SIEM sammelt, aggregiert, analysiert und speichert große Mengen an Protokolldaten aus verschiedenen Bereichen. Dadurch können Sicherheitsteams verschiedene Anwendungsfälle auf diese Daten anwenden, insbesondere für Compliance- und Prüfungszwecke. SIEM-Lösungen erfordern einen hohen Aufwand für die Implementierung und Anpassung. Sie können Analysten alarmieren, sehen aber keine automatisierten Reaktionsmaßnahmen vor.
XDR hingegen integriert eine Suite von Tools zur Untersuchung, Verhaltensanalyse und automatisierten Behebung von Schwachstellen in einer einzigen Plattform. Es konzentriert sich auf die fortschrittliche Erkennung von Bedrohungen und die Erstellung personalisierter Antworten. Es ist zu beachten, dass XDR nicht über die Protokollierungs-, Aufbewahrungs- oder Compliance-Funktionen eines SIEM verfügt.
SOAR bietet Orchestrierungsmöglichkeiten, die den IT-Sicherheitsteams dabei helfen, Ressourcen zu optimieren und Aktivitäten zu priorisieren. Die XDR-Lösung verfügt in der Regel über keine dieser Funktionen.
Managed Detection and Response (MDR) ist ein Service, der Sicherheitsüberwachung und -analyse sowie ein Element der Reaktion auf Bedrohungen umfasst. Obwohl die Software hier wichtig ist, liegt der Schlüssel zu einem erfolgreichen MDR-Dienst darin, hochqualifizierte Analysten an Bord zu haben. Dies macht in der Regel den Unterschied zwischen Erfolg und Misserfolg aus.
Zu einem MDR-Service gehören:
Das Security Operations Center (SOC) ist ein zentrales Kontrollzentrum, das die IT-Infrastruktur von Organisationen schützen soll. Das SOC ist für die Überwachung der sicherheitsrelevanten Systeme zuständig. Außerdem analysiert und qualifiziert es Bedrohungen und initiiert und unterstützt Maßnahmen zur Reaktion auf Vorfälle. Die Analysten des SOC arbeiten in der Regel mit Cybersicherheitsexperten aus anderen Bereichen im Rahmen koordinierter Prozesse zusammen, bei denen spezialisierte Tools zum Einsatz kommen.
Ein typisches SOC besteht aus:
Of course, the above definitions aren’t cut-and-dried. Their features can vary slightly based on different managed security service providers. Often, we see that the tools (EDR, XDR, SIEM, SOAR) have some overlapping features and functionality. But regardless, they need specialised experts to operate them to ensure reliable, efficient results.
Möchten Sie mehr über die Incident Detection and Response Services von Airbus Protect erfahren? Kontaktieren Sie uns.
Cybersecurity Im Jahr 2023 ist es Airbus Protect gelungen, beispiellose Erfolge im Bereich Cyberabwehr zu erzielen und damit einen wichtigen Meilenstein für das Unternehmen zu setzen.
Mehr erfahren
Cybersecurity Im ersten Teil dieser Blogserie mit Schwerpunkt CTI haben wir den Intelligence Production Cycle vorgestellt und eine funktionale und technische Architektur für eine Cyber-Threat-Intelligence-Plattform vorgeschlagen, die sowohl in die SOC- als auch in die Incident-Response-Aktivitäten integriert ist und diese unterstützt.
Mehr erfahren
Cybersecurity Heute haben wir Felix, Penetrationstester, und Philipp, Cyber Security Incident Responder, gebeten, über ihren Job und ihr tägliches Miteinander zu sprechen.
Mehr erfahren