Startseite > Security > »Es gibt keine uninteressanten Ziele mehr«

CRN-Interview mit Michael Veit von Sophos

»Es gibt keine uninteressanten Ziele mehr«

30. Juli 2019, 7:54 Uhr | Daniel Dubsky

Fortsetzung des Artikels von Teil 2

»Der Trend geht zu integrierten Lösungen mit Endpoint Protection und EDR«

CRN: Welches Wissen und welche Fähigkeiten benötigen Systemhäuser und IT-Dienstleister, um in den EDR-Markt einzusteigen?

Veit: Die Verwaltung der Endpoint-Lösung inklusive EDR, entweder für einzelne Kunden oder im Rahmen eines eigenen MDR-Services, verlangt aufgrund der KI-unterstütze Analyse und einfachen, verständlichen Darstellung kein zusätzliches Expertenwissen, das über die Verwaltung von Endpoint Security hinausgeht. Das Systemhaus muss bei Sophos also nicht in Spezialisten für die Malware-Analyse und Forensik investieren.

CRN: Welches Potenzial bietet der Markt nach Ihrer Einschätzung?

Veit: EDR besitzt ein enormes Potenzial, vor allem im mittleren Unternehmenssegment. Gezielte Angriffe mit modernen Bedrohungen wie Ransomware sind heute die Regel und Unternehmen haben großes Interesse daran, sich zum einen wirksam zu schützen und zum anderen insbesondere mit Hinblick auf Compliance Analysemöglichkeiten zu bekommen, um Nachweispflichten zu erfüllen.

So wie der Anti-Virus nach 25 Jahren nicht mehr ausreichte und in den letzten vier, fünf Jahren durch NextGen-Schutz ergänzt wurde, werden die reinen Schutzfunktionen gerade durch Protokoll-, Analyse- und Eindämmungstechnologien von EDR ergänzt. Der Trend geht dabei zu integrierten Lösungen mit Endpoint Protection und EDR, da diese nicht nur die Verwaltung vereinfachen, sondern zusätzlich eine bessere Erkennung, Analyse und automatische Reaktion auf Bedrohungen ermöglicht.

CRN: Ist eine EDR-Lösung eher als Ersatz oder als Ergänzung zu einer SIEM-Lösung zu sehen?

Veit: Sowohl reine SIEM als auch reine EDR-Lösungen haben mehrere Nachteile: Beide protokollieren viele Ereignisse, können aber meist nur eingeschränkt (im Falle von EDR) oder gar nicht (im Falle von SIEM) Angriffe verhindern und eindämmen. Außerdem werden sowohl bei SIEM- als auch EDR-Systemen normalerweise Experten benötigt, die die Flut an Daten analysieren und Angriffe identifizieren müssen. Und nach der Identifikation einer Bedrohung muss in beiden Fällen manuell reagiert werden, um die Bedrohung einzudämmen.

Um komplexen Angriffen auch zukünftig begegnen zu können, benötigen Unternehmen eine zentrale Erfassung und automatische, KI-gestützte Analyse und Korrelation aller Ereignisse im Unternehmen, sowohl am Endpoint als auch im Netzwerk. Auf diese Weise identifizierte eindeutige Bedrohungen müssen auf allen Komponenten am Endpoint und Gateway automatisch und ohne menschliche Interaktion eingedämmt werden. Und nur wenn die Sachlage nicht eindeutig ist, wird ein menschlicher Experte hinzugezogen und erhält vorgefilterte und aussagekräftige Informationen um zu entscheiden, ob hier ein komplexer Angriff vorliegt.