Kann Virenschutz oder EDR allein laterale Bewegung erkennen?

Teilweise. Endpoint Detection and Response (EDREDR: Endpoint Detection and Response. Sicherheitssoftware auf jedem Rechner, die beobachtet, was auf diesem Gerät passiert.) sieht, was auf jedem Rechner geschieht, auf dem es läuft, etwa den Start eines Fernwartungswerkzeugs oder das Auslesen von Anmeldedaten, und gutes EDR erkennt auf diese Weise viel laterale Bewegung. Was ihm entgeht, sind Hosts ohne Agent wie Drucker, Kameras, Appliances und unverwaltete Server, Agenten, die Angreifer abgeschaltet haben, und Bewegung mit legitimen Werkzeugen und gültigen Passwörtern, die auf jedem einzelnen Rechner normal aussieht. Das Netz sieht die Beziehung zwischen Hosts: einen Arbeitsplatzrechner, der plötzlich administrative Sitzungen zu Servern öffnet, die er nie genutzt hat. Deshalb arbeiten beide am besten zusammen. NetSenX erkennt laterale Bewegung und Scans in jedem Plan, auch im Free-Plan, und korreliert ab dem Pro-Plan Hosts zu einer Geschichte; was in einem Host läuft, sieht es nicht, das bleibt Aufgabe des EDR.

← Alle 69 Fragen zu Angriffstechniken erklärtAlle Themen