IT-Sicherheit
EDR
Endpoint Detection and Response
Endpoint Detection and Response, kurz EDR, sammelt und analysiert sicherheitsrelevante Ereignisse auf Endgeräten wie Notebooks und Servern. Es unterstützt dabei, verdächtige Aktivitäten zu erkennen, Vorfälle zu untersuchen und geeignete Gegenmaßnahmen einzuleiten.
Was bedeutet das im Unternehmen?
EDR betrachtet Zusammenhänge zwischen Ereignissen, etwa gestartete Prozesse oder auffällige Netzwerkverbindungen. Je nach Produkt sind Reaktionen wie das Isolieren eines Geräts möglich. Ein Alarm muss bewertet werden: Nicht jede Auffälligkeit ist ein Angriff, und nicht jede Gefahr wird automatisch beseitigt. Zuständigkeiten und verfügbare Reaktionszeiten gehören deshalb zur Einführung.
Ein Beispiel aus der Praxis
Auf einem Notebook startet nach dem Öffnen eines Dokuments ein ungewöhnlicher Prozess. Das Sicherheitsteam erhält eine Meldung und prüft die Ereigniskette. Bei bestätigtem Verdacht kann das Gerät vom übrigen Netz getrennt werden, während die Untersuchung fortgesetzt wird. Der konkrete Ablauf hängt von eingesetzter Lösung und Freigaben ab.
EDR ist ein Werkzeug, betreuter Schutz ist eine Dienstleistung
Eine EDR-Lizenz allein bedeutet nicht, dass ein externes Team Meldungen durchgehend bearbeitet. Solche Betriebsleistungen müssen gesondert festgelegt werden. Auch Geräteschutz, sichere Konfiguration, Updates und Datensicherung bleiben erforderlich.
Darauf kommt es an
- Alle vorgesehenen Endgeräte erfassen und den Schutzstatus kontrollieren.
- Zuständige Personen und Eskalationswege für Meldungen festlegen.
- Automatische Gegenmaßnahmen und deren Auswirkungen vorher abstimmen.
Eine häufige Frage
Ersetzt EDR jeden anderen Schutz?
Nein. EDR ist ein Baustein neben sicheren Zugängen, Aktualisierungen, Netzwerkregeln und Backups. Welche Funktionen bereits in einer Sicherheitslösung kombiniert sind, muss anhand des konkreten Produkts geprüft werden.
Herausgeber: IT Fabrik · Stand: