Endpoint-Sicherheit und Firewalls sind zwei grundlegende Elemente der Unternehmenssicherheit, doch mit Remote-Arbeit, IoT-Geräten und anderen Technologien, die die Grenzen des Netzwerkperimeters erweitern, sind zentrale Management- und Reaktionstools zunehmend ebenfalls zu einer zentralen Sicherheitskomponente geworden.
Diese zentralen Managementtools – SIEM (Security Information and Event Management), SOAR (Security Orchestration, Automation and Response) und XDR (Extended Detection and Response) – verfolgen ein ähnliches Ziel: Sie ermöglichen es, alle Sicherheitstools und die gesamte Infrastruktur über eine einzige Managementebene zu überwachen. Der Schutz eines verteilten Unternehmens wäre ohne eine zentrale Ebene, die Erkennung und Reaktion beschleunigt, nicht möglich.
Nun ist auch von einem weiteren Ansatz für ein zentrales Sicherheitsmanagement die Rede, dem Cybersecurity Mesh. Vorerst handelt es sich dabei jedoch eher um ein Konzept als um ein Produkt.
Sehen wir uns all diese Tools und ihre Unterschiede und Gemeinsamkeiten genauer an.
SIEM vs. SOAR
SIEM- und SOAR-Produkte scheinen weiterhin im Zentrum der Cybersicherheitsinfrastruktur zu stehen, denn ihre Funktionen für Überwachung, Alarmierung und Reaktion sind nach wie vor sehr gefragt.
Das ist nicht überraschend, denn SOCs (Security Operations Center) leiden häufig unter Personalmangel und Stress: Zu viele Bedrohungen treffen auf zu wenige Experten.
SIEM- und SOAR-Tools verfolgen allerdings nicht denselben Zweck. Sie können nicht austauschbar verwendet werden.
Sie erfassen und aggregieren Protokoll- und Sicherheitsdaten aus Hardware, Anwendungen und anderen Sicherheitstools an einer zentralen Stelle. SIEM-Tools erfordern jedoch in der Regel mehr Überwachung und Feinabstimmung. Daher verbringen Sicherheitsanalysten mitunter mehr Zeit damit, Parameter und Warnmeldungen festzulegen, statt tatsächlich verdächtige Aktivitäten zu verfolgen.
SOAR-Anwendungen sind auf dem Markt neuer als SIEM-Tools. Sie konzentrieren sich auf Automatisierung und Orchestrierung, reduzieren den menschlichen Eingriff und senken dadurch die Betriebskosten – ein zusätzlicher Nutzen der Automatisierung.
Cyberangreifer werden immer raffinierter. Daher mussten Unternehmen kontinuierlich neue Sicherheitslösungen wie IDPS, UEBA, Bedrohungsdaten, Patch-Management, Verschlüsselung, DLP, DDoS-Schutz, Schwachstellenmanagement und sogar Management der mobilen Sicherheit integrieren.
Es stellt sich die Frage, wie all diese Sicherheitstools in die Kernprodukte integriert werden können. SIEM und SOAR sind zwei Möglichkeiten, diese umfangreiche Sicherheitsinfrastruktur zu vereinheitlichen. In unserem ausführlichen Leitfaden zu den wichtigsten SIEM-Produkten wurden beispielsweise 30 Funktionen führender SIEM-Tools untersucht – von den Fähigkeiten zur Erkennung, Reaktion und Untersuchung von Vorfällen bis hin zur Integration mit Sicherheitstools, Unternehmensanwendungen, Netzwerkinfrastruktur und mehr.
Außerdem lesenswert: Die wichtigsten Tools und Services für die Reaktion auf Vorfälle
XDR: Ein Sicherheitstool der nächsten Generation
XDR-Lösungen fassen mehrere Produkte zu einer einheitlichen Sicherheitslösung zusammen, verbessern die Transparenz und helfen beim Schutz vor raffinierten Angriffen.
XDR-Tools wurden mit umfangreichen Automatisierungsfunktionen, fortschrittlichen Bedrohungsanalysen und Abfrageempfehlungen für Sicherheitsteams entwickelt. Sie bieten viele Funktionen älterer Tools und priorisieren und verfolgen zudem Bedrohungen. Außerdem beheben sie Datenverluste und schließen Sicherheitslücken effizienter.
Während EDR-Produkte (Endpoint Detection and Response) den Schutz vor Malware und Bedrohungen gegenüber einem einfachen Virenschutz deutlich verbessern, erweitert XDR den Anwendungsbereich von EDR um umfassendere Funktionen – vom Netzwerk bis zur Cloud und darüber hinaus. Dadurch lassen sich scheinbar voneinander unabhängige Warnmeldungen korrelieren, und die Reaktion auf heutige Angriffe sowie künftige unbekannte Bedrohungen wird erleichtert.
XDR kann als Versuch der Anbieter betrachtet werden, ihre eigenen Produkte miteinander zu verknüpfen. Tatsächlich haben einige Beobachter der Sicherheitsbranche vermutet, dass das mögliche Anbieter-Lock-in und andere Einschränkungen dazu führen könnten, dass XDR künftig von anderen zentralen Sicherheitsansätzen überholt wird. Der Einstieg von IBM in den XDR-Bereich im vergangenen Jahr machte jedoch deutlich, dass XDR idealerweise ein offenes System sein muss, das Tools anderer Anbieter integrieren kann, um einen maximalen Nutzen zu bieten.
Wie funktionieren XDR-Lösungen?
XDR ist eine Sammlung von Produkten, die zu einer einzigen Lösung zusammengeführt wurden. Ziel ist es, Integration und Support zu vereinfachen und Administratoren die Arbeit mit einer zentralen Oberfläche zu erleichtern.
Statt die Zahl der Anbieter und Benutzeroberflächen zu vervielfachen, gibt es nur einen Anbieter. Man kann sich das als All-in-one-Ansatz vorstellen, der Next-Generation-Virenschutz, fortschrittliche Verschlüsselung und Gerätesteuerung, Bedrohungsdaten mit Kontextualisierung sowie eine tiefgehende Analyse des internen und externen Datenverkehrs umfasst.
Statt die Zahl der Vorfälle zu vervielfachen, soll eine XDR-Lösung das Rauschen reduzieren und Probleme und Ereignisse nach Möglichkeit zu einem einzigen Vorfall korrelieren.
Sie soll die Erkennung durch bessere Analysen und Datenerfassung verbessern. Eine gute XDR-Lösung sollte die Grundursache von Problemen schnell identifizieren und Empfehlungen sowie Strategien zur Behebung bereitstellen.
Die besten XDR-Lösungen
Zu den führenden XDR-Lösungen gehören:
- Trend Micro
- Palo Alto Networks
- Cynet
- Crowdstrike
- Microsoft 365 Defender und Azure Defender
Diese Anbieter können Signale verarbeiten und sämtliche Daten mit prädiktiven Machine-Learning-Modellen analysieren. XDR liefert Kontext zu konkreten Bedrohungen, sodass Sicherheitsteams Angriffe intelligenter verstehen und abwehren können.
Die aktuelle Bedrohungslandschaft ist von einer großen Vielfalt an Angreifern geprägt. Es gibt zwar nicht allzu viele völlig neue Angriffstypen, doch bekannte Angriffe entwickeln sich schnell weiter.
Deshalb benötigen Verteidiger heute eine globale Gemeinschaft von Forschern über mehrere Plattformen hinweg sowie skalierbare Muster.
Siehe Die wichtigsten XDR-Sicherheitslösungen
Wirksamkeit vs. Effizienz
XDR-Lösungen bieten zwar beeindruckende Funktionen, doch man sollte nicht zu schnell einsteigen. In bestimmten Fällen kann menschliches Eingreifen paradoxerweise effizienter sein als der Versuch, globale Muster und Modelle anzuwenden.
Es besteht die Gefahr, Wirksamkeit zugunsten von Effizienz einzubüßen. Teams mit komfortableren Oberflächen schneller arbeiten zu lassen, kann ein positiver Nebeneffekt sein, sollte aber nicht das letztendliche Ziel darstellen.
Bei kleineren Problemen könnte das übertrieben sein.
Ist XDR der ultimative Ansatz?
XDR-Tools können zwar ausgefeilter sein als SIEM-Tools und SOAR-Lösungen, da sie deren beste Funktionen in einem Produkt eines einzigen Anbieters vereinen. Gleichzeitig sind sie für Anbieter eine hervorragende Möglichkeit, Kunden an sich zu binden.
Mit einem einzigen XDR-Anbieter können Sie möglicherweise Kosten sparen, erhalten mit einer kombinierten Lösung aber womöglich nicht in jedem Bereich das jeweils beste Produkt. Auch das Anbieter-Lock-in ist ein Problem, sofern Sie mit Ihrem Anbieter nicht vollkommen zufrieden sind. Denn die Breite und Komplexität von XDR-Produkten macht den Wechsel von einem Produkt zu einem anderen noch komplizierter und kostspieliger.
Durch Automatisierung lassen sich wahrscheinlich auch Zeit und Kosten sparen. Dennoch sollten nicht alle Unternehmen eine XDR-Lösung kaufen, da sie möglicherweise eine Vielzahl von Funktionen erhalten, die sie in ihrer Umgebung tatsächlich nicht benötigen.
Im schlimmsten Fall kann ein XDR-Tool mehr Probleme schaffen, als es löst. Außerdem lässt sich kaum bestreiten, dass selbst die besten All-in-one-Lösungen Sicherheitsexperten und geeignete, auf bestimmte Umgebungen zugeschnittene Strategien nicht ersetzen können. Dennoch könnte die umfangreiche Produktpalette von XDR einigen Unternehmen eine umfassendere Sicherheitsabdeckung ermöglichen, als sie sich andernfalls leisten könnten.
Cybersecurity Mesh: Die Zukunft?
Gartner hat eine neue Vision für die Sicherheitsorchestrierung vorgestellt, die die Einschränkungen von SIEM, SOAR und XDR überwinden soll.
Die als Cybersecurity Mesh bezeichnete Vision – noch kein tatsächliches Produkt – kombiniert laut dem Gartner-Analysten Ruggero Contu, der dies auf dem Gartner Security & Risk Management Summit im vergangenen Jahr erklärte, die zentrale Durchsetzung verteilter Richtlinien mit „modularen, kombinierbaren Tools, die überall in das Mesh eingebunden werden können“.
Die Technologie zur Aktivierung der Mesh-Struktur nutzt grundlegende Services wie:
- Zentrales Richtlinienmanagement und Orchestrierung
- Sicherheitsanalysen, Threat Intelligence und Trigger
- Eine verteilte Identitätsstruktur
Laut dem Gartner-Analysten Felix Gaehtgens richtet die Strategie Unternehmen besser an Bedrohungen aus, indem sie den isolierten Fokus aktueller Cybersicherheitstools beseitigt. Der Mesh-Ansatz könnte die Kosten von Sicherheitsvorfällen um 90 % senken, sagt er.
Statt Sicherheitstools zu integrieren, wird das Security Mesh Ebenen für Sicherheitsanalysen, Intelligence, Identität, Richtlinien, Sicherheitsstatus und Dashboards nutzen.
Fortinet, IBM, McAfee, Microsoft, Palo Alto Networks und Broadcom/Symantec gehören zu den Anbietern, die Fortschritte in Richtung eines Mesh-Ansatzes gemacht haben. Das Anbieter-Lock-in bleibt vorerst jedoch ein Risiko.
Die Zeit wird zeigen, ob die Anbieter von Cybersicherheitslösungen Gartners Vision umsetzen können. Sicherheitsverantwortliche sollten ihre Kaufentscheidungen idealerweise jedoch auf Produkte konzentrieren, die sie dieser Vision näherbringen.
Mehr lesen: Cybersecurity Mesh, dezentrale Identität und aufkommende Sicherheitstechnologien: Gartner