EDR schützt die Geräte, auf denen sich ein Agent installieren lässt, ein SIEM sammelt und korreliert die Logs aller Systeme, die welche schreiben, und NDR beobachtet den Netzwerkverkehr zwischen allen Geräten — auch denen, auf denen gar kein Agent läuft. Für ein IT-Team ohne Security Operations Center (SOC) heißt die praktische Reihenfolge meist: zuerst EDR auf jedem verwalteten Endpunkt, dann NDR für den Verkehr und die Geräte, die EDR nicht sieht, und ein SIEM, sobald jemand Zeit hat, täglich Regeln zu schreiben und Logs zu lesen.
Was jedes Werkzeug beobachtet
| EDR | SIEM | NDR | |
|---|---|---|---|
| Beobachtet | Prozesse, Dateien und Speicher auf verwalteten Endpunkten | Logs von Servern, Firewalls, Cloud-Diensten und Anwendungen | Netzwerkverkehr zwischen Hosts, intern und nach außen |
| Erkennt gut | Malware, die auf einem Laptop oder Server läuft; Ransomware-Verhalten auf dem Host | Korrelationen über viele Systeme; lange Aufbewahrung; Audit-Berichte | C2-Beaconing, Scans, laterale Bewegung, ungewöhnliche ausgehende Daten |
| Blinde Flecken | Geräte ohne Agent: Drucker, Kameras, IoT, OT-Steuerungen, nicht verwaltete Laptops | Alles, was kein Log schreibt oder dessen Log niemand einsammelt | Was in einem Host passiert, ohne das Netzwerk zu berühren; Inhalte verschlüsselter Daten |
| Betriebsaufwand | Niedrig bis mittel | Hoch: Parsen, Regeln und Tuning hören nie auf | Niedrig bis mittel |
| Übliche Preisbasis | Pro Endpunkt | Pro aufgenommenem Datenvolumen | Pro überwachtem Gerät, Sensor oder Bandbreite |
Die drei überschneiden sich weniger, als es scheint. Ein Angreifer auf einem nicht verwalteten Gerät ist für EDR unsichtbar, und ein SIEM sieht ihn nur, wenn etwas seine Aktivität protokolliert. Derselbe Angreifer muss aber über das Netzwerk kommunizieren — mit einem Command-and-Control-Server, mit anderen Hosts, mit dem Ziel seiner Daten — und genau das sieht NDR. Das Framework MITRE ATT&CK führt laterale Bewegung und Command and Control aus genau diesem Grund als eigene Taktiken: Sie finden zwischen Maschinen statt.
Womit Sie ohne SOC anfangen
- EDR auf jedem verwalteten Endpunkt. Es blockiert und protokolliert schädliche Aktivität auf dem Host und braucht nach der Einführung wenig tägliche Aufmerksamkeit.
- NDR für das Netzwerk. Es deckt die Geräte ab, die EDR nicht erreicht, zeigt laterale Bewegung zwischen Hosts und liefert die Zeitleiste eines Vorfalls, die NIS2-Meldungen brauchen. Wählen Sie eines, dessen Alarme sich selbst erklären: Ohne Analysten ist ein Alarm ohne Begründung ein Alarm, um den sich niemand kümmert.
- Ein SIEM, wenn Sie es besetzen können. Ein SIEM lohnt sich, wenn jemand dafür verantwortlich ist — Korrelationsregeln schreibt, Parser pflegt und täglich Logs prüft. Bis dahin lassen sich die Logs, die Ihre Aufsicht verlangt, oft ohne vollständige SIEM-Einführung aufbewahren.
- Erwägen Sie MDR, wenn Sie 24/7-Überwachung brauchen. Ein Managed-Detection-and-Response-Dienst sind Menschen, kein Werkzeug: Ein Anbieter beobachtet Ihre EDR-, NDR- oder SIEM-Alarme rund um die Uhr.
Fragen vor dem Kauf eines NDR
- Sagt jeder Alarm in verständlicher Sprache, warum er ausgelöst wurde?
- Gibt es eine angegebene Fehlalarm-Obergrenze, und können Sie sie auf Ihren eigenen Daten prüfen?
- Ist die Preisliste veröffentlicht, oder wird jede Installation einzeln angeboten?
- Wo werden die Überwachungsdaten gespeichert, und unter welchem Auftragsverarbeitungsvertrag?
- Liest es OT-Protokolle passiv, ohne Steuerungen abzufragen?
Unsere Vergleiche von NDR-Anbietern wenden diese Fragen auf Darktrace, Vectra AI, ExtraHop und Nozomi Networks an, mit einer Quelle für jede Aussage.
Wo NetSenX passt
NetSenX ist eine Network-Detection-and-Response-Plattform (NDR) für mittelständische Organisationen in der EU, die Angriffe anhand des Netzwerkverhaltens erkennt, jeden Alarm verständlich erklärt und Kundendaten in der EU hält. Es arbeitet neben EDR und SIEM, nicht an ihrer Stelle: Ab dem Business-Plan lassen sich Alarme in das SIEM exportieren, das Sie bereits betreiben. Der Free-Plan deckt bis zu 3 Geräte ohne Zeitlimit ab, sodass Sie sehen, was es findet, bevor Sie entscheiden. Details stehen auf der Preisseite und in den FAQ. Wenn NIS2 für Sie gilt, ist die Checkliste zur NIS2-Netzwerküberwachung die nächste Lektüre.
Quellen
- MITRE ATT&CK — Lateral Movement (TA0008)
- MITRE ATT&CK — Command and Control (TA0011)
- NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems
Verfasst vom NetSenX Team bei TriStiX S.L. Fragen: info@netsenx.com.
Fragen, die dieser Leitfaden beantwortet
Worin unterscheiden sich NDR, EDR und SIEM?
EDR läuft auf jedem Endgerät und sieht die Prozesse und Dateien auf diesem Rechner. Ein SIEM sammelt Logs aus vielen Systemen und korreliert sie. NDR beobachtet den Verkehr zwischen Geräten und erfasst so auch Geräte, auf denen kein Agent laufen kann, sowie Aktivität, die kein Log hinterlässt. Die drei ergänzen sich.
Was bedeuten EDR, NDR, XDR und MDR in einfachen Worten?
EDR beobachtet jeden Rechner von innen, NDR beobachtet den Verkehr zwischen Geräten, XDR bündelt mehrere Quellen in einer Konsole, und MDR ist ein Team, das die Alarme für Sie im Blick hat. EDR (Endpoint Detection and Response) ist Software auf Laptops und Servern, die Prozesse, Dateien und Speicher dieser Maschine sieht. NDR (Network Detection and Response) ist ein Sensor, der sieht, wie Geräte miteinander sprechen, auch Drucker, Kameras und Maschinen, auf denen sich keine Software installieren lässt. XDR (Extended Detection and Response) ist eine Plattform, die Signale von Endpunkten, E-Mail, Identität, Cloud und manchmal Netzwerk zusammenführt. MDR (Managed Detection and Response) ist gar keine Software, sondern ein Dienst: Menschen, die die Alarme rund um die Uhr lesen und handeln. Außerdem begegnet Ihnen SIEM (Security Information and Event Management), das Logs sammelt. NetSenX ist ein NDR; es arbeitet neben den anderen und ersetzt sie nicht.
Was ist XDR, und ist das dasselbe wie NDR?
Nein. XDR (Extended Detection and Response) ist eine Plattform, die Signale aus mehreren Quellen in einer Konsole zusammenführt, während NDR (Network Detection and Response) eine dieser möglichen Quellen ist. Die meisten XDR-Produkte sind um einen Endpunkt-Agenten herum gebaut und ergänzen E-Mail-, Identitäts- und Cloud-Logs; manche nehmen Netzwerkdaten auf, manche nicht. Das zählt bei Geräten, auf denen kein Agent läuft, etwa Drucker, Kameras, Gebäudetechnik, Maschinen und Appliances: Ein XDR, das nur auf Endpunkten beruht, sieht sie nicht, solange keine Netzwerkdaten einfließen. Fragen Sie vor dem Kauf, welche Quellen das XDR in Ihrer Lizenz tatsächlich verarbeitet, nicht in der Broschüre. NetSenX ist ein NDR: Es beobachtet den Verkehr zwischen Geräten und meldet Beaconing, Scans, laterale Bewegung und ungewöhnliches ausgehendes Datenvolumen in jedem Plan, auch im Free-Plan. Es ersetzt weder ein EDR noch eine XDR-Plattform, und ab dem Business-Plan lassen sich seine Alarme in das SIEM oder XDR exportieren, das Sie bereits betreiben.
Was ist der Unterschied zwischen MDR und EDR?
EDR ist Software, MDR ist ein Dienst, den Menschen erbringen. EDR (Endpoint Detection and Response) wird auf Ihren Rechnern und Servern installiert; es beobachtet Prozesse und Dateien, meldet Alarme und lässt einen Administrator eine Maschine isolieren. Jemand muss diese Alarme trotzdem lesen und entscheiden. MDR (Managed Detection and Response) ist ein Anbieter, dessen Analysten die Alarme für Sie lesen, rund um die Uhr, und in einer vereinbarten Zeit reagieren. Die meisten MDR-Dienste bringen ein eigenes EDR mit oder setzen es voraus, manche nehmen auch Netzwerk- oder Cloud-Daten auf. Die eigentliche Frage lautet also nicht EDR oder MDR, sondern wer die Alarme nachts liest. Haben Sie Personal oder einen IT-Dienstleister in Rufbereitschaft, können EDR und Netzwerkerkennung genügen. Kann außerhalb der Bürozeiten niemand reagieren, schließt ein Managed Service diese Lücke. NetSenX ist Erkennungssoftware, kein MDR: Es erklärt jeden Alarm, damit Ihr Team oder Dienstleister handeln kann.
Brauche ich NDR, wenn ich schon EDR habe?
Oft ja, weil EDR und NDR an unterschiedlichen Stellen versagen. EDR (Endpoint Detection and Response) sieht nur Maschinen, auf denen sein Agent läuft und intakt ist. Drucker, Kameras, Telefone im WLAN, Gebäudetechnik, Maschinen oder den Laptop eines Dienstleisters sieht es nicht, und Angreifer schalten es auf dem übernommenen Rechner oft als Erstes ab. NDR (Network Detection and Response) beobachtet den Verkehr zwischen Geräten und sieht deshalb weiterhin einen kompromittierten Host, der einen externen Server anruft, das Netz scannt oder Daten abzieht, egal was mit seinem Endpunkt-Agenten geschieht. Besteht Ihr Unternehmen aus einer Handvoll Laptops und alles liegt in der Cloud, reichen EDR und gute Backups vorerst vielleicht aus. Haben Sie ein lokales Netz mit Servern und Geräten, auf denen Sie nichts installieren können, schließt NDR die Lücke. NetSenX meldet Beaconing, Scans, laterale Bewegung und ungewöhnliches ausgehendes Volumen in jedem Plan, auch im Free-Plan, sodass Sie in Ihrem eigenen Netz sehen, was es bringt, bevor Sie zahlen.
Welche Lücken lässt EDR, die nur das Netzwerk zeigt?
Geräte ohne Agent, abgeschaltete Agenten und das Verkehrsmuster eines Angriffs, der sich über mehrere Maschinen verteilt. EDR (Endpoint Detection and Response) berichtet aus dem Inneren jedes Rechners, auf dem es läuft. Es berichtet nicht von einem Drucker, einem Kamerarekorder, einem NAS, einer Gebäudesteuerung, dem Telefon eines Gastes oder einem nicht verwalteten Laptop, den jemand eingesteckt hat. Es berichtet nicht von einem Server, auf dem es deinstalliert oder manipuliert wurde. Und jeder Agent sieht einen Host, sodass ein langsames Muster, das erst über viele Hosts hinweg Sinn ergibt, leicht untergeht, etwa eine Maschine, die Dutzende Dateifreigaben berührt oder still alle fünf Minuten nach außen telefoniert. Das Netzwerk sieht all das, weil jedes Gerät kommunizieren muss, um Schaden anzurichten. NetSenX beobachtet diesen Verkehr und führt eine Netzwerkkarte der Geräte, die es sieht. In einen Host hinein sieht es nicht, deshalb ergänzen sich beide Werkzeuge.
Brauche ich ein SIEM, wenn ich NDR habe?
Nicht unbedingt: Viele kleine und mittlere Unternehmen haben von NDR plus gutem Endpunktschutz mehr als von einem SIEM, das niemand pflegen kann. Ein SIEM (Security Information and Event Management) sammelt und korreliert Logs aus vielen Systemen: Firewalls, Server, Verzeichnisdienste, Cloud-Dienste. Es ist mächtig, wenn jemand seine Suchen schreibt und pflegt, und schwerfällig, wenn das niemand tut. NDR (Network Detection and Response) liefert Erkennungen aus dem Netzwerkverkehr ohne Log-Engineering. Beide beantworten unterschiedliche Fragen: Das SIEM sagt, wer sich wo angemeldet hat, NDR sagt, was die Geräte im Netzwerk getan haben. Ein SIEM kann trotzdem nötig sein, wenn ein Prüfer, ein Kundenvertrag oder eine Behörde eine zentrale Log-Aufbewahrung erwartet oder sobald Sie Personal haben, das es nutzt. Wenn Sie bereits eines betreiben, können NDR-Alarme dorthin fließen: NetSenX hat SIEM-Export ab dem Business-Plan, sodass Netzwerkerkennungen bereits erklärt im SIEM ankommen.