Extended Detection and Response (XDR): Definition und Beispiele

Was ist Extended Detection and Response (XDR)?

Extended Detection and Response (XDR) ist ein Sicherheitsansatz, der Erkennungen und Telemetrie aus mehreren Bereichen sammelt und korreliert, etwa von Endpunkten, Netzwerk, E-Mail, Identität und Cloud-Workloads, und Analysten Untersuchung und Reaktion an einem Ort ermöglicht. XDR ist aus EDR (Endpoint Detection and Response) hervorgegangen. Forrester beschreibt XDR als Weiterentwicklung von EDR, ergänzt um Daten aus anderen Sicherheits- und Business-Tools. Ziel sind weniger, aber aussagekräftigere Alarme statt vieler getrennter.

Was XDR zusammenführt

So funktioniert XDR

1. Sensoren und Konnektoren senden Telemetrie aus jeder Quelle an die Plattform.
2. Die Plattform normalisiert die Daten und verknüpft zusammengehörige Ereignisse, etwa eine Phishing-Mail, den dadurch gestarteten Prozess und das Konto, das sich danach aus einem neuen Land anmeldet.
3. Zusammengehörige Ereignisse werden zu einem Vorfall mit Zeitverlauf gebündelt, statt je Tool einen eigenen Alarm auszulösen.
4. Analysten oder automatische Playbooks reagieren quellenübergreifend: Host isolieren, Konto sperren, Absender blockieren.

Beispiel: Ein Nutzer öffnet einen Anhang, auf dem Laptop startet ein Skript, und wenige Minuten später liest dasselbe Konto viele Dateien auf einem Dateiserver. Jedes Ereignis für sich wirkt harmlos. Korreliert ergeben sie eine Angriffskette wie bei Ransomware, die ein Analyst früh stoppen kann.

XDR, EDR, SIEM und MDR im Vergleich

XDR und SIEM überschneiden sich, sind aber nicht dasselbe: Ein SIEM ist eine breite Log-Ablage mit Berichtswesen, XDR konzentriert sich auf Erkennung und Reaktion über die angebundenen Sicherheitstools. Viele Organisationen setzen beides ein.

Natives und offenes XDR

Natives XDR kommt von einem Hersteller, dessen Produkte den Großteil der Telemetrie liefern (Beispiele für Anbieter: Microsoft Defender XDR, CrowdStrike Falcon, Palo Alto Cortex XDR, SentinelOne Singularity). Die Integration ist eng, dafür entsteht ein Lock-in. Offenes XDR zieht Daten aus Tools, die Sie bereits besitzen. Das ist flexibel, hängt aber von der Tiefe der einzelnen Integrationen ab.

Häufige XDR-Fehler

• Einrichten und vergessen. Die Standard-Erkennungen sind laut, bis sie auf Ihre Umgebung abgestimmt sind.
• Abdeckungslücken. XDR sieht keine nicht verwalteten Geräte und keine SaaS-Apps, die nicht angebunden sind.
• Niemand reagiert. Ohne Analysten stauen sich Vorfälle. Prüfen Sie MDR.
• Mit allen Quellen starten. Beginnen Sie mit Endpunkt, Identität und E-Mail und erweitern Sie dann.
• Die Grundlagen auslassen. XDR erkennt Probleme; Patches und Zugriffskontrolle verhindern sie.

XDR, Incident Response und Ihre Anwendungen

XDR liefert die Erkennung und Ersteinschätzung für die Incident Response und ist eine Antwort auf die vielen Cyber-Bedrohungen. Es beobachtet Sicherheitssignale. Ob eine Anwendung läuft oder schnell ist, zeigt es nicht: Bei APIs übernimmt das das API-Monitoring, API-spezifische Risiken behandelt API-Sicherheit.

Eine praktische Überschneidung: Ein Lasttest erzeugt eine Verkehrsspitze, die für Sicherheitswerkzeuge ungewöhnlich aussehen kann. Informieren Sie Ihr Security-Team vor einem großen Test und vereinbaren Sie, woran er erkannt wird, damit er keine Sperren oder falschen Vorfall auslöst. Der Lasttest von LoadFocus führt JMeter- und k6-Skripte aus Cloud-Regionen aus. Er prüft nur die Performance: Er simuliert weder Angriffe noch Schadsoftware und ist kein XDR-Produkt. Mehr zur Testhygiene in Best Practices für Sicherheit beim Cloud-Testing (englisch).

Häufige Fragen zu XDR

Ersetzt XDR ein SIEM?

Meist nicht. Ein SIEM deckt breite Log-Sammlung und Compliance-Berichte ab, XDR konzentriert sich auf korrelierte Erkennung und Reaktion. Viele Teams setzen beides ein und leiten XDR-Vorfälle ins SIEM weiter.

EDR oder XDR?

Wenn Sie nur Einblick in Endpunkte brauchen, genügt EDR. Wenn die Angriffe, die Sie fürchten, Endpunkte, E-Mail, Identität und Cloud überspannen, liefert XDR die Korrelation.

Was ist der Unterschied zwischen XDR und MDR?

XDR ist die Technologie. MDR (Managed Detection and Response) ist ein Service, bei dem ein externes Team für Sie überwacht und reagiert, oft mit XDR.

Kann ich XDR ohne Security-Team betreiben?

Sie können es einführen, aber jemand muss auf die Alarme reagieren. Ohne eigene Analysten ist ein Managed Service der sicherere Weg.

Ist XDR ein Herstellerbegriff?

Zu großen Teilen. Palo Alto Networks hat ihn 2018 geprägt, und Anbieter definieren ihn unterschiedlich. Prüfen Sie daher, welche Quellen ein Produkt tatsächlich einliest und welche Reaktionen es automatisieren kann.