XDR: Next Generation des Virenschutzes

Ist Antivirensoftware tot?

Glaubt man den Aussagen führender IT-Sicherheitsexperten, muss diese Frage leider mit Ja beantwortet werden. AV ist tot - es lebe EDR und XDR! Dabei sollen nicht mehr einzelne Systeme mit einer mehr oder weniger starren Software, die auf der Erkennung bekannter Muster von Malware beruht, geschützt werden, sondern eher das Gesamtsystem mit einer dynamischen Lösung. Zudem werden die zu schützenden Systeme laufend überwacht und Verhaltensauffälligkeiten analysiert. Das gilt erst recht für eine Komprimittierung - wenngleich es ärgerlich und in der Regel mit Ausfällen, zusätzlichem Aufwand und gegebenenfalls Reputationsverlusten verbunden ist, kann die Auswertung eines erfolgreichen Einbruchs doch wertvolle Erkenntnisse liefern, mit denen zukünftig besser - und vorbeugend - auf solche Gefahren reagiert wird. Deswegen "Detection and Response" - ob nun, EDR, XDR oder MDR. EDR (Endpoint Detection and Response) heisst das bei solchen neuen Trends offenbar unvermeidliche 3-Buchstabenkürzel für diese "Next generation" von Antiviren-Lösungen. Antivir ist dabei nach Angaben der Entwickler und Anbieter solcher Systeme ohnehin zu kurz gegriffen. XDR wäre demnach noch die qualitative Steigerung zu EDR, weil das X quasi für "alles" an Bedrohungen stehen soll, was über reinen Malwarebefall hinausgeht. Dummerweise halten sich Cyber-Kriminelle selten an die üblichen Geschäftszeiten, weshalb ein Monitoring der zu schützenden Systeme praktisch 24/7 und an 365 Tagen im Jahr erfolgen sollte - in Schaltjahren sogar an 366 Tagen. Da nur wenige oder wirklich sehr grosse Unternehmen auf extrem sicherheitskritischen Geschäftsfeldern (wie zum Beispiel Banken oder Krankenhäuser) sich so etwas personell und finanziell leisten können und wollen, hilft eventuell ein MDR - Managed Detection and Response, bei dem die laufende Überwachung, Reaktion und Anpassung eben an einen externen Dienstleister übertragen wird.

Endpoint Protection Platforms

Endpoint Protection Platforms sind heutzutage Standard in Unternehmen. Während sie Bedrohungen wie bekannte Viren, Trojaner, Umgehungsmechanismen von Firewalls oder UAC (User Access Control, auf deutsch Benutzerkontensteuerung) in der Regel gut erkennen und abwehren, können sie mit bisher unbekannten Viren eher schlecht bis gar nicht umgehen. Dabei handelt es sich oftmals nur um geringe Abwandlungen bekannter Schadsoftware. Gerade die diversen Verschlüsselungstrojaner haben gezeigt, wie wirkungslos klassische EPP hier oftmals war und ist. Das ist besonders deswegen ärgerlich, weil AV-Lösungen nicht kostenfrei zu haben sind und die Lizenzkosten sich in grösseren Umgebungen zu einem erklecklichen Sümmchen addieren können. Verweist man die Hersteller nach einem Malwarebefall darauf, dass Ihre Lösung diesen nicht abwehren konnte, erntet man in der Regel einen Verweis auf die Vertragsbedingungen, die einen vollständigen Schutz nicht zusagen können und einen Schadensersatz ausschliessen.

Die Angreifer von IT-Systemen sind den Opfern zwangsläufig immer einen Schritt voraus. Sofern man nicht über hellseherische Fähigkeiten oder die Kombinationsgabe eines Sherlock Holmes verfügt, wird es auch der bestausgestatteten IT-Abteilung selten gelingen, einen Angriff bereits vor dessen Durchführung zu erkennen und abzuwehren. Die Regel ist eher, dass es nach einem eingetretenen Schadensfall meist nur noch darum geht, wie schnell die Daten und Systeme wiederhergestellt werden können.

Einer Umfrage aus dem Jahre 2017 zufolge (SANS 2017 Threat Landscape, siehe Link unten) sahen 74 Prozent der Befragten in typischem Userverhalten wie dem Klick auf einen (kompromittierten) Link oder dem Öffnen eines E-Mail-Anhangs den "besten und einfachsten" Weg, auf dem Cyberkriminelle in Unternehmen eindringen könnten. Gleichzeitig schätzten über 80 Prozent der befragten Unternehmen EPP-Tools als das hilfreichste Mittel zur Erkennung von Bedrohungen ein. Wie wir aber eingangs dargestellt haben und wie es viele Unternehmen schmerzhaft erfahren mussten, ist der (eher statische und eindimensionale) Schutz am Endpunkt kaum geeignet, aktuellen Cyberbedrohungen standzuhalten.