Endpoint Security

1. Was ist Endpoint Security?

Unter Endpoint Security (Endpunktsicherheit) versteht man den Schutz von Endgeräten wie Desktops, Laptops und mobilen Geräten vor der Ausnutzung durch bösartige Aktivitäten.

Zu den Bedrohungen denen Endgeräten ausgesetzt sind gehören das Aufbringen von Schadsoftware oder eines Remote-Access-Trojaners (RAT). Auch der unerwünschte Datenabfluss oder der Anschluss externer Massenspeichergeräte können die Vertraulichkeit der Unternehmensdaten gefährden.

Das Maßnahmenpaket setzt sich üblicherweise aus

• Technische Maßnahmen auf dem Endgerät,
• Technische Maßnahme im Unternehmensnetzwerk und
• Organisatorische Maßnahmen für die Benutzer

zusammen.

Die digitale Transformation von Unternehmen mit einer stetig steigenden Anzahl mobiler Arbeitsplätze, die Adaption der Cloud und die vergrößerte Angriffsoberfläche erhöhen den Absicherungsbedarf. Der Endgeräteschutz gewinnt damit weiterhin an Relevanz.

2. Maßnahmen zum Schutz der Endgeräte

Technische Maßnahmen für Endgeräte werden von Herstellern oft als Endpoint Protection Platform (EPP) vermarktet. Dazu können präventive, erkennende aber auch reaktive Maßnahmen gehören wie:

• Schutz vor Malware und Ransomware (signaturbasiert und verhaltensbasiert)
• Schutz der administrativen Berechtigungen
• Desktop-Firewalls
• Clientseitige IDS/IPS
• Web-Filtersysteme
• Isolation der Anwendungen durch Virtualisierung
• Data Loss Prevention (DLP)
• Management von externen Geräten wie USB-Sticks

Zu den wichtigsten organisatorischen Maßnahmen für Benutzer zählen regelmäßige Security Awareness Trainings zu aktuellen Bedrohungen wie Phishing. Auch die Sicherheitsrichtlinien für den Umgang mit Endgeräten, externen Datenspeichern oder dem Unternehmensnetz müssen mit einbezogen werden.

Auf Ebene des Netzwerkes können zusätzliche Maßnahmen wie IDS/IPS, Web-Proxys, Phishing-Erkennung die Endpunktsicherheit unterstützen.

Der Vorteil von netzwerkbasierten Maßnahmen besteht in der Reduktion des Ressourcenverbrauchs auf den Endgeräten durch weniger Agenten und einer breiteren, netzwerkbasierten Sichtbarkeit.

3. Endgeräteschutzplattformen (Plattform EPP, Endpoint Protection Platforms)

Eine Endgeräteschutzplattform soll Bedrohungen wie bekannte Malware und fortschrittliche Bedrohungen wie dateilose Angriffe und Ransomware verhindern. Klar, Zero-Day-Exploits werden eher nicht erwischt, aber eine grundlegende IT-Hygiene kann erreicht werden. Eine erkennt bösartige Aktivitäten mithilfe verschiedener Techniken:

• Signatur: Erkennung von Bedrohungen anhand bekannter Malware-Signaturen
• Statische Analyse: Analyse von Binärdateien und Suche nach bösartigen Merkmalen vor der Ausführung mithilfe von Algorithmen des maschinellen Lernens
• Verhaltensanalyse: EPP-Security-Lösungen können Verhaltensanomalien erkennen, auch wenn es keine bekannte Bedrohungssignatur gibt
• Whitelisting und Blacklisting: Blockieren des Zugriffs oder Erlauben des Zugriffs nur auf bestimmte IP-Adressen, URLs, Anwendungen und Prozesse.
• Sandbox: Testen auf bösartiges Verhalten von Dateien, indem sie in einer virtuellen Umgebung ausgeführt werden, bevor sie zur Ausführung zugelassen werden

Oft bieten diese Endgeräteschutzplattformen weitere passive Schutzfunktionen an wie Datei- und Festplattenverschlüsselung, Host-basierte Firewalls und Data Loss Prevention -Funktionen.

Viele dieser Lösungen arbeiten cloudbasiert ohne einen on-premises Management-Server um auch in einem mobilen Arbeitsumfeld ein kontinuierliches Monitoring sicherzustellen. Bei einigen Anbietern wird nicht nur das Management in die Cloud ausgelagert, sondern auch Teile der Erkennungsfunktionen selbst. Der Endgeräte-Agent muss keine lokale Datenbank mit allen bekannten IOCs (Indicators of Compromise) mehr unterhalten. Eine Cloud-API reicht um unbekannte Objekte zu klassifizieren.

Zu den Anbietern dieser klassischen Endpunktgeräte-Plattformen zählen unter anderem Broadcom (Symantec), Microsoft, Trend Micro, SentinelOne, Sophos, Crowdstrike. Eine stetig aktualisierte Liste findet sich bei Gartner.

4. Endpoint Detection und Response (EDR)

EDR-Lösungen ergänzen EPP-Plattformen, indem sie auch die zeitliche vorgelagerten verdächtigen Aktivitäten und das zeitlich nachgelagerte Incident-Response mit in die Überwachung einbeziehen.

Das wird auch durch die Buchstaben D und R in EDR reflektiert.

Die wichtigsten Funktionen einer EDR-Plattform sind:

• Kontinuierliche Überwachung und Sammlung von Aktivitätsdaten von Endpunkten, die auf eine Bedrohung hindeuten könnten,
• Automatisierte Reaktion auf erkannte Bedrohungen, unterstützt von Machine Learning/Künstliche Intelligenz und anderen Threat-Intelligence Quellen wie dem MITRE ATT&CK Framework,
• Benachrichtigung des SOC-Teams falls eine Bedrohung erkannt wird und
• als Forensik- und Analysetool fungieren, um erkannte Bedrohungen zu untersuchen und nach verdächtigen Aktivitäten zu suchen.

Für den Schutz der Endgeräte bietet EDR-Software im Vergleich zu klassischer EPP/Anti-Virensoftware insbesondere mehr Sichtbarkeit und Einflussnahme bei Angriffen mit aktueller Malware.

Zu den Anbietern von EDR-Software zählen viele Hersteller die bereits im vorhergehenden EPP-Abschnitt aufgeführt sind ( EDR-Liste von Gartner).

Zugegebenermaßen verschwimmt die Linie auf Anbieterseite zwischen EPP-Software und EDR-Software, da oftmals Features beider Produktlinien in ein integriertes Produkt überführt werden. Als Folge wird Endpoint Protection auf Basis der eigenen DER/EPP-Software bei jedem Hersteller ein wenig anders definiert.

Vergleich Endpoint Protection Platform vs. Endpoint Detection & Response

Feature	Endpoint Protection Platform (EPP)	Endpoint Detection & Response (EDR)
Ziel	Prävention bekannter Bedrohungen und vielleicht ein paar unbekannter	Verbesserung der Transparenz und Möglichkeit von Incident-Response Aktivitäten auf dem Endgerät
Einflussnahme	Gering	aktive Erkennung von Bedrohungen möglich
Unterstützung bei Sicherheitsvorfällen	passiver Schutz vor Bedrohungen	unterstützt die Behandlung von Sicherheitsvorfällen als Incident-Response Tool

5. MDR und XDR

Die EDR-Plattform bietet dem eigenen Sicherheitsteam hervorragende Einblicke und Transparenz, um eine Überwachung der Infrastruktur sicherzustellen. Um die Leistung aber voll zu nutzen benötigt es genügen Ressourcen, die häufig in den eigenen Teams nur schwer verfügbar sind.

• Managed Detection and Response (MDR): erweitert eine EDR-Plattformen um eine externe menschliche Komponente, idealerweise durch ein Team von IT-Sicherheitsexperten.
• Extended Detection and Response (XDR): XDR-Softwarelösungen dehnen die gute Endgerätesichbarkeit die EDR erzeugt auf die gesamte IT-Infrastruktur eines Unternehmens aus. Auch die Cloud-Infrastruktur, mobile Geräte und Netzwerkgeräte werden dabei mit betrachtet. Diese einheitliche Sichtbarkeit vereinfacht das Management der IT-Sicherheit und auch die Durchsetzung von Sicherheitsrichtlinien.