Antivirus, EDR und XDR

Antivirus vs. Antimalware

Seit den Anfängen der Computertechnik versuchen Angreifer, Schadprogramme auf fremden Systemen auszuführen. Solche Programme können Daten stehlen, Systeme manipulieren, Benutzer ausspionieren oder ganze Netzwerke verschlüsseln.

Um diese Bedrohungen abzuwehren, wurden Antivirus- und Antimalware-Lösungen entwickelt. Sie gehören bis heute zu den grundlegenden Schutzmechanismen eines Endgeräts. Auf Windows ist der Windows Defender grundsätzlich vorhanden und aktiv, auch für Linux und MacOS gibt es entsprechende Lösungen.

In Unternehmensnetzwerken werden diese Endgeräteschutzlösungen häufig durch zentral verwaltete Sicherheitskomponenten ergänzt, die beispielsweise den E-Mail-Verkehr, Webzugriffe oder Dateidownloads auf Schadsoftware überprüfen und so eine zusätzliche Schutzebene bieten.

Moderne Lösungen schützen jedoch vor einer Vielzahl unterschiedlicher Bedrohungen:

• Viren
• Würmer (Worms)
• Trojaner
• Spyware
• Adware
• Ransomware
• Rootkits
• Backdoors
• Keylogger

Deshalb wird heute häufig der umfassendere Begriff Antimalware verwendet. In der Praxis verwenden Hersteller jedoch oft weiterhin die Bezeichnung Antivirus, obwohl ihre Produkte längst deutlich mehr Funktionen bieten.

Ein Antivirus-Programm überwacht Dateien, Prozesse und Aktivitäten auf einem System und versucht, bekannte oder verdächtige Schadsoftware zu erkennen. Dabei kommen verschiedene Verfahren zum Einsatz:

Wie du siehst, stehen heutigen Antimalware-Lösungen eine Vielzahl an Analysemöglichkeiten zur Verfügung. Wird Malware entdeckt, kann das Programm auf verschiedene Arten damit umgehen:

In vielen Fällen kann das Verhalten konfiguriert werden. Unternehmenslösungen melden den Vorfall häufig zusätzlich an eine zentrale Management-Konsole oder ein SIEM-System.

Grenzen von Antiviren-Software

Trotz moderner Technologien bietet Antivirensoftware keinen vollständigen Schutz. Hochentwickelte Angriffe (Advanced Persistent Threats, APTs), Zero-Day-Exploits oder speziell für ein einzelnes Unternehmen oder Szenario entwickelte Malware können Erkennungsmechanismen umgehen. Zudem erfolgen viele Angriffe heute über legitime Werkzeuge wie PowerShell, WMI oder Fernwartungssoftware, ohne klassische Malware-Dateien einzusetzen.

Deshalb ist Antivirensoftware nur eine Schutzschicht innerhalb eines mehrstufigen Sicherheitskonzepts (Defense in Depth). Erst das Zusammenspiel mit Maßnahmen wie Patch-Management, sicheren Berechtigungskonzepten, Multi-Faktor-Authentifizierung, Netzwerksegmentierung, EDR/XDR-Lösungen und der Sensibilisierung der Benutzer sorgt für ein hohes Sicherheitsniveau.

Das bringt uns direkt zu unserem nächsten Thema:

Endpoint Detection and Response (EDR)

Während klassische Antiviren-Software und moderne Antimalware-Lösungen in erster Linie darauf abzielen, Schadsoftware zu erkennen und zu blockieren, geht EDR (Endpoint Detection and Response) einen entscheidenden Schritt weiter.

EDR überwacht Endgeräte kontinuierlich, zeichnet sicherheitsrelevante Ereignisse auf und analysiert deren Zusammenhänge. Dadurch können auch Angriffe erkannt werden, die klassische Antivirenlösungen umgehen oder zunächst unauffällig erscheinen. Moderne Angriffe bestehen häufig nicht mehr aus einer einzelnen Malware-Datei. Stattdessen setzen Angreifer auf Techniken wie:

• dateilose Angriffe (Fileless Malware)
• PowerShell- und WMI-Missbrauch
• Process Hollowing (Prozessmanipulation)
• DLL-Injection
• Credential Dumping
• Lateral Movement
• Living-off-the-Land-Techniken (LoL) – Verwendung von „Bordmitteln“

Diese Angriffe verwenden häufig legitime Windows-Werkzeuge und hinterlassen kaum klassische Malware-Dateien, die eine Antivirenlösung anhand einer Signatur erkennen könnte. EDR konzentriert sich daher weniger auf einzelne Dateien als auf das gesamte Verhalten eines Endgeräts.

Wie arbeitet EDR?

Auf jedem geschützten Endgerät läuft ein sogenannter EDR-Agent. Dieser überwacht kontinuierlich sicherheitsrelevante Aktivitäten wie:

• gestartete Prozesse
• Speicherzugriffe
• Dateioperationen
• Registry-Änderungen
• Benutzeranmeldungen
• Netzwerkverbindungen
• PowerShell- und Skriptausführungen
• Änderungen an Diensten oder Autostart-Einträgen

Alle diese Ereignisse werden protokolliert und an eine zentrale EDR-Plattform übermittelt. Der größte Unterschied zu einer klassischen Antivirensoftware besteht darin, dass EDR Zusammenhänge erkennt. Während eine Antivirensoftware häufig einzelne Aktionen bewertet, betrachtet EDR die komplette Angriffskette.

Beispiel: Die folgende Ereignisfolge tritt auf:

– Ein Benutzer öffnet einen E-Mail-Anhang
– Microsoft Word startet PowerShell
– PowerShell lädt ein Skript aus dem Internet
– Das Skript liest Zugangsdaten aus dem Speicher
– Anschließend wird eine Verbindung zu einem unbekannten Server aufgebaut

Jede dieser Aktionen für sich könnte noch legitim sein. Die Kombination aller Ereignisse deutet jedoch stark auf einen Angriff hin.

EDR arbeitet überwiegend verhaltensbasiert. Es bewertet beispielsweise:

• ungewöhnliche Prozessketten
• verdächtige Eltern-Kind-Beziehungen von Prozessen
• Speicherinjektionen
• Manipulation anderer Prozesse
• ungewöhnliche Administratoraktivitäten
• plötzliches Verschlüsseln vieler Dateien
• Kommunikation mit bekannten Command-and-Control-Servern
• auffällige Authentifizierungsereignisse
  

Exkurs: UEBA – auffälliges Verhalten erkennen

Bei der Verhaltensanalyse wird nicht nur geprüft, ob eine bestimmte Aktivität grundsätzlich verdächtig ist. Moderne Sicherheitslösungen können zusätzlich berücksichtigen, was für einen bestimmten Benutzer oder ein bestimmtes System normalerweise üblich ist.

Dieses Prinzip wird als UEBA (User and Entity Behavior Analytics) bezeichnet. Dabei wird typisches Verhalten von Benutzern und anderen Entitäten wie Endgeräten oder Servern analysiert. Deutliche Abweichungen von diesem Verhalten können auf ein kompromittiertes Konto oder einen Angriff hinweisen.

Beispiel: Ein Benutzer greift normalerweise tagsüber auf wenige interne Systeme zu. Meldet sich sein Konto plötzlich nachts an und greift innerhalb kurzer Zeit auf zahlreiche Server und große Datenmengen zu, kann dies einen Alarm auslösen.

UEBA-Funktionen finden sich heute beispielsweise in EDR-, XDR- und SIEM-Lösungen. Dadurch erkennt EDR häufig auch völlig neue Schadsoftware, für die noch gar keine Signatur existiert.

Ein weiterer großer Vorteil von EDR ist die umfangreiche Protokollierung. Sicherheitsverantwortliche können später nachvollziehen:

– Wann begann der Angriff?
– Welcher Benutzer war betroffen?
– Welche Programme wurden gestartet?
– Welche Dateien wurden verändert?
– Welche Netzwerkverbindungen wurden aufgebaut?
– Auf welche Systeme hat sich der Angreifer ausgebreitet?

Dadurch eignet sich EDR nicht nur zur Erkennung, sondern auch zur Untersuchung eines Sicherheitsvorfalls.

Reaktionsmöglichkeiten von EDR

Der zweite Bestandteil von EDR ist das Response. Erkennt das System einen Angriff, kann es automatisch reagieren. Je nach Produkt sind beispielsweise folgende Maßnahmen möglich, die teilweise über die Möglichkeiten von klassischen Antimalware-Lösungen hinausgehen:

• Prozess beenden
• Datei isolieren
• Endgerät vom Netzwerk trennen
• Benutzerkonto sperren
• Speicherabbild sichern
• weitere Untersuchungen starten
• Administrator benachrichtigen

Dadurch kann ein Angriff oft gestoppt werden, bevor er sich im Netzwerk ausbreitet.

EDR ersetzt in der Regel nicht die Antiviren- oder Antimalware-Lösung, sondern ergänzt sie. Während Antimalware bekannte und viele unbekannte Schadprogramme bereits beim Zugriff oder der Ausführung blockiert, überwacht EDR das Endgerät dauerhaft auf verdächtige Aktivitäten und Angriffsmuster. Gemeinsam bilden beide Technologien eine deutlich stärkere Verteidigungsschicht gegen moderne Cyberangriffe als jede Lösung für sich allein.

💡 HIDS und HIPS – die klassischen Vorläufer

– HIDS (Host-based Intrusion Detection System) überwacht ein einzelnes Endgerät auf verdächtige Aktivitäten und Veränderungen und erzeugt bei erkannten Auffälligkeiten einen Alarm.

– HIPS (Host-based Intrusion Prevention System) geht einen Schritt weiter: Es kann erkannte verdächtige Aktivitäten nicht nur melden, sondern auch automatisch blockieren oder unterbinden.

Viele dieser Funktionen sind heute Bestandteil moderner Endpoint-Security- und EDR-Lösungen, die zusätzlich umfangreiche Telemetrie, Verhaltensanalyse und zentrale Untersuchungs- und Reaktionsmöglichkeiten bieten.

Extended Detection and Response (XDR)

Während Antimalware einzelne Endgeräte schützt und EDR Aktivitäten auf Endgeräten überwacht, erweitert XDR diesen Ansatz auf die gesamte IT-Infrastruktur.

XDR sammelt und analysiert Sicherheitsereignisse aus unterschiedlichen Quellen und setzt sie miteinander in Beziehung. Dadurch lassen sich auch komplexe Angriffe erkennen, die sich über mehrere Systeme oder Sicherheitsbereiche erstrecken.

EDR liefert wertvolle Informationen über einzelne Endgeräte. Moderne Angriffe betreffen jedoch selten nur einen Computer. Ein Angreifer könnte beispielsweise:

• eine Phishing-E-Mail versenden
• Zugangsdaten stehlen
• sich über das VPN anmelden
• sich im Netzwerk seitlich ausbreiten (Lateral Movement)
• Daten aus einer Cloud-Anwendung herunterladen
• und anschließend Informationen an einen externen Server übertragen

Jedes einzelne Sicherheitssystem erkennt dabei möglicherweise nur einen kleinen Teil des Angriffs. XDR führt diese Informationen zusammen und erkennt die komplette Angriffskette.

Wie arbeitet XDR?

XDR empfängt kontinuierlich Ereignisse aus verschiedenen Sicherheitslösungen und zentralisiert sie in einer gemeinsamen Analyseplattform. Typische Datenquellen sind:

• EDR-Agenten auf Endgeräten
• Firewalls
• Netzwerk-Sensoren (NDR)
• E-Mail-Sicherheitslösungen
• Identity- und IAM-Systeme
• Cloud-Sicherheitslösungen
• Proxy-Server
• DNS- und Webfilter
• SIEM- oder Log-Systeme

Dadurch entsteht ein umfassendes Bild der Sicherheitslage im gesamten Unternehmen. Der größte Vorteil von XDR besteht darin, dass Ereignisse aus unterschiedlichen Bereichen automatisch miteinander verknüpft (korreliert) werden.

Zentrale Sicht auf den Angriff

Ein weiterer Vorteil von XDR ist die einheitliche Darstellung aller Sicherheitsereignisse. Statt Warnmeldungen aus vielen unterschiedlichen Produkten zu analysieren, erhalten Administratoren eine konsolidierte Übersicht:

• Wo begann der Angriff?
• Welche Systeme sind betroffen?
• Welche Benutzerkonten wurden missbraucht?
• Welche Daten wurden möglicherweise abgegriffen?
• Welche Gegenmaßnahmen wurden bereits automatisch durchgeführt?

Dadurch werden Sicherheitsvorfälle schneller erkannt und effizienter bearbeitet.

Antimalware, EDR und XDR bauen aufeinander auf und ergänzen sich. Antimalware schützt vor bekannter und unbekannter Schadsoftware, EDR überwacht das Verhalten einzelner Endgeräte und erkennt dort komplexe Angriffe.

XDR erweitert diesen Ansatz auf die gesamte IT-Umgebung, indem Ereignisse aus Endgeräten, Netzwerken, Identitätssystemen, Cloud-Diensten und weiteren Sicherheitslösungen zusammengeführt und als zusammenhängender Sicherheitsvorfall bewertet werden. Dadurch können auch mehrstufige Angriffe erkannt und zentral koordiniert abgewehrt werden.