Das Vokabular der Cybersicherheit gleicht manchmal einem Dschungel von Akronymen. Die Nuancen zwischen EDR, SIEM, SOAR und XDR zu verstehen, ist jedoch von entscheidender Bedeutung: Ihre Rolle und Funktionsweise bestimmen, wie tief Ihr Team Einblick erh\u00e4lt und wie schnell es reagieren kann. Bevor wir uns mit den einzelnen Bausteinen befassen, sollten wir uns daran erinnern, dass sich diese Tools nicht ausschlie\u00dfen, sondern erg\u00e4nzen, um das defensive Ger\u00fcst eines modernen Security Operations Center (SOC) und einer koh\u00e4renten Verteidigung zu bilden.<\/p>\n\n\n\n
L'Endpoint Detection & Response<\/strong> platziert sich so nah wie m\u00f6glich am Terminal. Es registriert jede Prozessausf\u00fchrung, jeden Speicheraufruf und jede ausgehende Verbindung und reagiert dann innerhalb von Sekunden: Isolierung des Rechners, L\u00f6schen einer b\u00f6sartigen Bin\u00e4rdatei oder sogar Wiederherstellung einer verschl\u00fcsselten Datei. EDR zeichnet sich also durch N\u00e4he aus: Man wei\u00df genau, wie sich die Bedrohung auf dem Host eingenistet hat. Seine Schw\u00e4che liegt in eben dieser N\u00e4he: Au\u00dferhalb des Terminals sieht er nichts.<\/p>\n\n\n\n Die Security Information & Event Management<\/strong>Er ist nicht auf einen Host ausgerichtet, sondern auf die lange Zeit und die Breite des Unternehmens. Es sammelt Protokolle von Servern, Firewalls, SaaS oder Gesch\u00e4ftsanwendungen, speichert sie monatelang und wendet Korrelationen an, um schwache Signale zu erkennen. Wo das EDR eine T\u00fcr schlie\u00dft, sobald sie zuschl\u00e4gt, verbringt das SIEM seine Zeit damit, das Eingangsbuch durchzubl\u00e4ttern: Es findet die Spur eines Ausweises, der in zwei L\u00e4ndern zur selben Minute verwendet wurde, und sp\u00fcrt ein ruhendes Konto auf, das am Tag vor einem Audit wieder auftaucht. Der wesentliche Unterschied ist also ein doppelter: EDR handelt schnell, aber lokal, w\u00e4hrend SIEM weit und breit sieht, aber passiv bleibt - es warnt, ohne das System zu ber\u00fchren.<\/p>\n\n\n\n Wenn das EDR einen Einbruch meldet und das SIEM zeigt, dass ein Adminkonto \u00fcberall wiederverwendet wurde, wird der Security Orchestration, Automation & Response <\/strong>betritt die B\u00fchne. Seine Aufgabe ist es, die Warnung in eine Aktion umzuwandeln: einen IOC \u00fcber einen Threat-Intel-Dienst anreichern, eine Domain im Proxy blockieren, den Benutzer im Verzeichnis deaktivieren und das Ganze dann im ITSM protokollieren. Kein fr\u00fcheres Tool kann dies nativ; SOAR spinnt also den Faden zwischen unmittelbarer Erkennung (EDR) und globalem Kontext (SIEM). Es h\u00e4ngt von der Qualit\u00e4t der EDR-Daten, der Relevanz der SIEM-Regeln und vor allem von der F\u00e4higkeit des SOC ab, diese Playbooks zu pflegen. Ohne diese Disziplin kann die Automatisierung schnell zu einem Labyrinth aus kaputten Skripten werden.<\/p>\n\n\n\nSIEM: Der Speicher und die Alarmmaschine<\/h2>\n\n\n\n
SOAR: Der Antwortorchestrator<\/h2>\n\n\n\n
XDR: Erweitertes und korreliertes Sehen<\/h2>\n\n\n\n