Der Cybersecurity-Fachjargon: MDR, SOC, EDR, XDR, SOAR und SIEM.

MDR, SOC, EDR, XDR, SOAR and SIEM, was bedeutet das alles?

Im Bereich der Cybersicherheit ist es üblich, eine Vielzahl von Akronymen mit zwei, drei oder sogar vier Wörtern zu verwenden. Wenn Sie neu in diesem Bereich sind, können diese Akronyme, gelinde gesagt, verwirrend sein. Um Ihnen die Arbeit zu erleichtern, haben wir diesen Leitfaden erstellt! Er erklärt einige der wichtigsten Begriffe im Bereich der Vorfallserkennung und -reaktion, einem Schlüsselbereich für die Sicherung der digitalen Vermögenswerte eines Unternehmens.

Entdecken Sie die Antworten auf diese Fragen:

• Was sind EDR und XDR – und was ist der Unterschied zwischen ihnen?
• Was bedeuten SIEM und SOAR – und wie ergänzen sie sich?
• Was ist der Unterschied zwischen XDR und SIEM/SOAR?
• Wie passen all diese Begriffe zu MDR und SOC?

Was ist EDR?

Endpoint Detection and Response (EDR) oder Endpunkterkennung und -reaktion ist eine Lösung, die Cyberbedrohungen auf Endgeräten wie PCs, Laptops oder Servern erkennen und untersuchen soll. Im Gegensatz zu Antivirensoftware erkennt EDR Cyberbedrohungen nicht nur, indem es Dateien nach Virensignaturen scannt, sondern untersucht auch das Verhalten der Endgeräte. Wenn ein verdächtiges Verhalten entdeckt wird, alarmiert das Tool das IT-Sicherheitsteam und schlägt Korrekturmaßnahmen vor. Das EDR-Tool kann auch automatisierte Reaktionen zur Mitigation wie die Isolierung von Endpunkten bereitstellen.

EDR umfasst Folgendes:

• Endpoint-Monitoring und Ereignisprotokollierung
• Datensuche, Untersuchung und Bedrohungssuche
• Erkennung verdächtiger Aktivitäten
• Die Fähigkeit, Sanierungsmaßnahmen vorzuschlagen.
• Automatisierte Abhilfemaßnahmen

Was ist XDR?

Extented Detection and Response (XDR) stellten die Weiterentwicklung der EDR-Lösung dar. XDR erweitert die Reichweite der Erkennung über die Endpunkte hinaus – durch die Bereitstellung von Erkennung, Analyse und Reaktion über mehrere Datenquellen hinweg. XDR sammelt Daten und analysiert das Verhalten aller IT-Schichten und -Anwendungen. Dazu gehören neben den Endgeräten auch Netzwerkkomponenten und Cloud-Dienste. Auf diese Weise schafft XDR eine ganzheitliche Sicht auf die IT-Sicherheit und mögliche Cyberbedrohungen, was die Ermittlungs- und Reaktionsaktivitäten vereinfacht.

XDR umfasst :

• Die Überwachung von Datenquellen aus verschiedenen Bereichen.
• Die Suche nach Daten, die Untersuchung und die Jagd nach Bedrohungen aus verschiedenen Bereichen.
• Die Analyse von bedrohungsorientierten Ereignissen.
• Die Erkennung verdächtiger Aktivitäten
• Die Möglichkeit, Korrekturmaßnahmen vorzuschlagen.
• Verbesserung der automatisierten Reaktion zur Schadensbegrenzung.

Was ist SIEM?

Security Information and Event Management (SIEM) ist eine Lösung, die es Organisationen ermöglicht, Daten aus dem Computernetzwerk zu zentralisieren, zu korrelieren und zu analysieren, um Sicherheitsprobleme zu erkennen. Die Hauptfunktionen des SIEM umfassen die Verwaltung und Zentralisierung von Protokollen, die Erkennung von Sicherheitsereignissen sowie Berichts- und Suchfunktionen. Es ermöglicht Analysten, Protokoll- und Ereignisdaten zu untersuchen sowie Sicherheitsdaten für Compliance- und Audit-Zwecke zu verfolgen und aufzuzeichnen.

Mit einer SIEM-Lösung können IT-Sicherheitsteams:

• Protokolldaten sammeln und korrelieren.
• Die Daten zur Identifizierung, Klassifizierung und Analyse von Vorfällen und Ereignissen verwenden.
• Daten aus mehreren Domänen in einer zentralen Plattform konsolidieren.
• Warnungen und Berichte generieren.
• Die Reaktion auf Vorfälle unterstützen.
• Protokolldaten für Compliance- und Prüfungszwecke speichern.

Was ist SOAR?

Security, Orchestration, Automation and Response (SOAR) ist eine Lösung, die SIEM-Plattformen ergänzt und unterstützt. SOAR zielt darauf ab, die Ereignisdaten zu erweitern, die Identifizierung kritischer Vorfälle zu vereinfachen und die Reaktion auf bestimmte Ereignisse oder Auslöser zu automatisieren. Ziel ist es, Bedrohungen nur dann zu eskalieren, wenn ein menschliches Eingreifen erforderlich ist.

Mit SOAR-Lösungen können IT-Sicherheitsteams:

• informationen über Sicherheitsbedrohungen aus verschiedenen Quellen sammeln und diese zentral zur Verfügung stellen.
• ihre Reaktion auf Sicherheitsbedrohungen automatisieren.
• das menschliche Eingreifen minimieren.

Was ist der Unterschied zwischen SIEM und SOAR?

Beide Lösungen sammeln sicherheitsrelevante Informationen aus verschiedenen Bereichen. Ihre Hauptfunktionen sind jedoch sehr unterschiedlich. SIEM konzentriert sich auf die Analyse der gesammelten Daten, die Erkennung von Bedrohungen und die Verbreitung von Warnungen. SOAR hingegen konzentriert sich auf die Generierung automatisierter Reaktionen auf die gesammelten Informationen. SIEM-Lösungen sind sehr effektiv bei der Erkennung von Cyberangriffen, erfordern aber zur Abwehr manuelle Eingriffe von Sicherheitsanalysten. SOAR kann viel unabhängiger arbeiten.

Was ist der Unterschied zwischen XDR und SIEM/SOAR?

SIEM sammelt, aggregiert, analysiert und speichert große Mengen an Protokolldaten aus verschiedenen Bereichen. Dadurch können Sicherheitsteams verschiedene Anwendungsfälle auf diese Daten anwenden, insbesondere für Compliance- und Prüfungszwecke. SIEM-Lösungen erfordern einen hohen Aufwand für die Implementierung und Anpassung. Sie können Analysten alarmieren, sehen aber keine automatisierten Reaktionsmaßnahmen vor.  

XDR hingegen integriert eine Suite von Tools zur Untersuchung, Verhaltensanalyse und automatisierten Behebung von Schwachstellen in einer einzigen Plattform. Es konzentriert sich auf die fortschrittliche Erkennung von Bedrohungen und die Erstellung personalisierter Antworten. Es ist zu beachten, dass XDR nicht über die Protokollierungs-, Aufbewahrungs- oder Compliance-Funktionen eines SIEM verfügt.

SOAR bietet Orchestrierungsmöglichkeiten, die den IT-Sicherheitsteams dabei helfen, Ressourcen zu optimieren und Aktivitäten zu priorisieren. Die XDR-Lösung verfügt in der Regel über keine dieser Funktionen.

Was ist MDR?

Managed Detection and Response (MDR) ist ein Service, der Sicherheitsüberwachung und -analyse sowie ein Element der Reaktion auf Bedrohungen umfasst. Obwohl die Software hier wichtig ist, liegt der Schlüssel zu einem erfolgreichen MDR-Dienst darin, hochqualifizierte Analysten an Bord zu haben. Dies macht in der Regel den Unterschied zwischen Erfolg und Misserfolg aus.

Zu einem MDR-Service gehören:

• analysten für IT-Sicherheit
• die Prozesse
• tools für die IT-Sicherheit
• die kontinuierliche Überwachung der Sicherheit
• die Jagd nach Bedrohungen
• priorisierung von Bedrohungen und Warnmeldungen.
• analyse der Sicherheit
• reaktionsmaßnahmen in Bezug auf die Sicherheit

Was ist ein SOC?

Das Security Operations Center (SOC) ist ein zentrales Kontrollzentrum, das die IT-Infrastruktur von Organisationen schützen soll. Das SOC ist für die Überwachung der sicherheitsrelevanten Systeme zuständig. Außerdem analysiert und qualifiziert es Bedrohungen und initiiert und unterstützt Maßnahmen zur Reaktion auf Vorfälle. Die Analysten des SOC arbeiten in der Regel mit Cybersicherheitsexperten aus anderen Bereichen im Rahmen koordinierter Prozesse zusammen, bei denen spezialisierte Tools zum Einsatz kommen.

Ein typisches SOC besteht aus:

• Einem zentralen Kontrollzentrum
• Analysten für Computersicherheit
• Prozessen
• Werkzeugen für die Computersicherheit
• Verschiedenen Dienstleistungen im Bereich IT-Sicherheit

Schlussfolgerung

Of course, the above definitions aren’t cut-and-dried. Their features can vary slightly based on different managed security service providers. Often, we see that the tools (EDR, XDR, SIEM, SOAR) have some overlapping features and functionality. But regardless, they need specialised experts to operate them to ensure reliable, efficient results.

Möchten Sie mehr über die Incident Detection and Response Services von Airbus Protect erfahren? Kontaktieren Sie uns.