XDR wurde als Technologieverbesserung gegenüber EDR entwickelt. EDR selbst basierte auf einem realen Marktbedarf – einem Produkt, das durch die Analyse historischer Endpunktaktivitätsdaten und die anschließende Fernreaktion fortgeschrittene Angriffe erkennen kann. Die Fähigkeit von EDR-Produkten, den Endpunkt durch maschinenbasierte Telemetrie zu modellieren, war die Kerntechnologie hinter dieser Idee.
Bei XDR bestand die Idee darin, dasselbe Konzept auf mehrere Datenquellen wie Netzwerk, E-Mail, Cloud-Infrastruktur usw. auszuweiten, um mehr Kontext rund um Warnungen zur Identifizierung von Angriffen hinzuzufügen.
Die verschiedenen Ansätze
An diesem Punkt kam es zu einer Divergenz der XDR-Ansätze zweier verschiedener Produktgruppen – der Endpoint Protection Plattform Anbieter und SIEM-Anbieter, die sich hauptsächlich an den Geschäftsanforderungen orientieren.
SIEM-Systeme wurden traditionell zur Protokollspeicherung und forensischen Analyse eingesetzt. Mit dem Aufkommen von XDR wollten die SIEM-Anbieter jedoch eine eigene Lösung entwickeln. Sie führten Open XDR ein, bei dem eine Analyse- und Reaktionsschicht auf dem SIEM-Data-Lake integriert wurde. Dieses Konzept ermöglichte es den SIEM-Anbietern, ihre Konnektorarchitektur sowie ihre Speicher- und Sucheffizienz für den Cross-Selling-Ansatz mit XDR zu nutzen.
In der Zwischenzeit haben die Anbieter der Endpoint Platform das EDR+-Konzept weiterentwickelt, wobei die für EDR entwickelten, auf MITRE Tactics and Technics basierenden Analyse- und Reaktionsfunktionen erweitert wurden, um weitere Datenquellen einzubeziehen.
Beide Lager priesen ihre Produkte als das bessere XDR an. Der Kunde war jedoch nicht zufrieden.
Während die XDR-Anbieter um ihre Gunst kämpften, erkannten die Endkunden, dass XDR als Produkt für sie nur einen geringen Nutzen brachte. Das lag daran, dass die Arbeit mit XDR ein hohes Maß an Fachwissen in der Bedrohungssuche erforderte und der Mangel an qualifiziertem Personal es unmöglich machte, die Flut der generierten Warnmeldungen zu untersuchen. Da XDR zudem nicht für Echtzeitreaktionen konzipiert war, war es in zeitkritischen Reaktionssituationen, wie beispielsweise bei Ransomware-Angriffen, nahezu wirkungslos. Die großen SOCs konnten zwar die XDR-Speicherung und die historischen Suchfunktionen nutzen, doch für die meisten CISOs erwies sich XDR als zusätzliches kostspieliges Problem.
Als einige XDR-Anbieter dieses Problem vor einigen Jahren erkannten, begannen sie, sich nicht mehr auf ihr Hauptgeschäft zu konzentrieren, sondern sich auf die zugrunde liegenden Schwachstellen zu konzentrieren. Mittlerweile ist ein neues XDR entstanden.
Der neue XDR
Während sich das „alte“ XDR auf das Sammeln und Speichern historischer Entitätstelemetrie- und Alarmdaten konzentrierte und die Hauptlast für die Triage, Bestätigung und Reaktion auf einen Cyberangriff auf die Analysten abwälzte, präsentierte das neue XDR eine automatisierte Reaktion in Echtzeit als sein zentrales Wertversprechen.
XDR soll beim geringsten Hinweis auf eine Kompromittierung Tausende von Warnmeldungen für alle MITRE-/algorithmusbasierten IOCs generieren, die in den Endpunkt-/Netzwerkdaten erkannt werden. Das Durchforsten dieser Warnmeldungen ist eine mühsame manuelle Aufgabe. ML und KI helfen jedoch dabei. ML kann zum Auffinden von Anomalien eingesetzt werden und wurde bereits in der Nachbearbeitung von Ereignissen verwendet. Es führt jedoch zu mehr Störgeräuschen. Der Schlüssel lag darin, Wege zu finden, den Warnbereich zu verkleinern und hocheffiziente Safelists zu verwenden, um das Störgeräusch weiter zu reduzieren.
Daraus entsteht ein Modell für XDR, bei dem entitätsspezifische Anomalien erkannt und anhand ihrer Eigenschaften bewertet werden. Die Genauigkeit der gemeldeten Anomalien wird durch verschiedene KI-gestützte Safelisting-Techniken weiter verbessert, was zu einem hochpräzisen Warnsystem führt. Dieses System reagiert automatisch in Echtzeit auf Bedrohungsindikatoren auf Entitätsebene und kann seine Reaktion kontinuierlich an Umgebungssignale anpassen. Nur Warnungen, die eine zeitliche Korrelation erfordern, werden zur eingehenderen Analyse und Reaktion auf einem sekundären Pfad an einen zentralen Speicher weitergeleitet. Dies ist weit entfernt von der heutigen übermäßigen Abhängigkeit von komplexer Heuristik und regelbasierter Erkennung und hängt stark von hochgradig optimierten ML-Modellen ab. Letztendlich würden solche entitäts- und attributspezifischen ML-Modelle standardisiert und direkt von den Anwendungs- und Geräteanbietern veröffentlicht, was die Belastung der XDR-Anbieter reduziert.
Also, wer hat diesen Kampf gewonnen?
Die auf Endpoint-Plattformen basierende XDR-Technologie scheint aufgrund des Bedarfs an spezifischen Daten und Algorithmen für niedrige Fehlalarmraten und schnelle Reaktionszeiten besser auf diese neue Richtung ausgerichtet zu sein als die generischen Open-XDR-Initiativen von SIEM. Allerdings spielt auch das SIEM eine entscheidende Rolle. Während Erkennung und erste Reaktion durch das neue XDR-Design effektiv abgedeckt werden, benötigt der Incident -Remediation -Prozess in jedem Schritt deutlich mehr Kontextinformationen. Mit dem Einsatz generativer KI-Modelle und LLM-Prompt-Engineering zur Orchestrierung von Sicherheits-Workflows wird das SIEM zum Speicherort für diese kontextbezogenen Cyberdaten. Doch dieses Thema behandeln wir in einem späteren Beitrag!
