10 Möglichkeiten zur Bereitstellung von XDR-Funktionen durch Cisco

10 Möglichkeiten zur Bereitstellung von XDR-Funktionen durch CiscoIn den letzten zehn Jahren haben wir bei Cisco Secure es uns zur Aufgabe gemacht, ein Sicherheitsportfolio zu entwickeln, zu übernehmen und zu...Contents

Ziel dieses E-Books

In den letzten zehn Jahren haben wir bei Cisco Secure es uns zur Aufgabe gemacht, ein Sicherheitsportfolio zu entwickeln, zu übernehmen und zu integrieren, das Abläufe vereinfacht, den Erfolg von Teams beschleunigt und Unternehmen in die Lage versetzt, ihre Zukunft zu sichern. Andere Anbieter haben erkannt, wie wichtig diese Aufgabe ist, und auf ihre eigene Art und Weise nachgezogen. Das Ergebnis dieser Entwicklungen sind Lösungen, die Erkennungs- und Reaktionstools in einer Plattform zusammenführen, die eine Vielzahl von Vorteilen verspricht. Gartner hat kürzlich eine Marktkategorie für diese Angebote definiert: Extended Detection and Response (XDR). Wie es bei neuen Sicherheitskonzepten häufig der Fall ist, greifen die Anbieter diese Terminologie schnell auf, um damit für das Leistungsspektrum ihrer Produkte zu werben.

Und genau hier wird es problematisch. Manche Anbieter nutzen den Begriff als Marketingstrategie für ihre bestehenden Lösungen, andere nennen ihre Produkte ausdrücklich „XDR“. Da derselbe Begriff auf verschiedene Arten verwendet wird, kann es für Käufer schwierig sein, zu verstehen, was er eigentlich bedeutet.

Cisco zeichnet sich durch ein umfassendes Portfolio aus. Wir betrachten den Schutz unserer Kunden aus einem umfassenden Blickwinkel... Integration ist ein wesentliches Element unserer Plattformstrategie und der Schlüssel zur Bereitstellung echter Automatisierung, Transparenz für alle wichtigen Bedrohungsvektoren und Verbesserung der Effizienz bei gleichzeitiger Verkürzung der Reaktionszeit bei Sicherheitsereignissen.

Gee Rittenhouse,
SVP Cisco Security Group,
2019

Wir möchten die Verwirrung rund um XDR beseitigen und etwas Klarheit schaffen.

Lesen Sie weiter und:

• verstehen Sie die Anforderungen, die die XDR-Einführung vorantreiben
• befassen Sie sich mit Gartners Definition der Kategorie
• erfahren Sie, wie Cisco XDR-Anwendungsfälle mit unseren Lösungen realisiert
• entdecken Sie, wie Sie Ihre XDR-Reise beginnen können

Inhaltsverzeichnis

Die Notwendigkeit von XDR
Gartners Definition
Die Perspektive von Cisco
10 XDR-Anwendungsfälle für bessere Sicherheitsergebnisse
Nächste Schritte

Ihre Sicherheitsziele wirken wahrscheinlich unerreichbar, aber das ist nicht Ihre Schuld

Wenn es Ihnen wie den meisten Sicherheitsteams geht, ist eine erfolgreiche Erkennungs- und Reaktionsstrategie ein geschäftskritisches Vorhaben, das oft illusorisch ist. Egal, wie viel Sie investieren – die Sicherheit muss ständig um „eine weitere Ebene“ aufgestockt werden. Die Bedrohungen werden immer raffinierter, der Perimeter wird immer weiter ausgedehnt, die Arbeitsgewohnheiten werden immer häufiger auf den Prüfstand gestellt und die Business Resiliency muss mehr denn je priorisiert werden. Je größer die Angriffsfläche wird, desto schwieriger wird die Erkennung und desto länger wird die Verweildauer, wodurch Unternehmen gefährdet werden.

Moderne Sicherheitsziele:

Integration von Sicherheitsdaten und Tools
Standardize processes and
Standardisierung von Prozessen und Abschaffung zeitraubender Aufgaben
Teamübergreifende Zusammenarbeit
Schnellere Erkennung
Beschleunigung von Prozessen durch Playbook-gesteuerte Automatisierung
Regelmäßige Durchführung proaktiver Maßnahmen
Konsistente Compliance

Warum findet bei der Fülle der heute verfügbaren Sicherheitstools kein Paradigmenwechsel statt? Weil alle Ihre Sicherheitslösungen wahrscheinlich isoliert entwickelt und konstruiert wurden und sich nicht auf sinnvolle Weise ineinander integrieren lassen. Da für eine wirksame Verteidigung gegen moderne Bedrohungen die Gewinnung eines umfassenden Bildes über alle Kontrollpunkte unerlässlich ist, ist ein Flickenteppich aus nicht integrierten Punktlösungen einfach nicht mehr zeitgemäß.

Für die Zusammenführung mehrerer verschiedener Punktlösungen werden durchaus Services angeboten, die aber in der Regel teuer sind. Diese siloartigen Technologien verhindern schlanke Sicherheitsprozesse und führen dazu, dass wichtige Entscheidungen isoliert und mit nur einem Bruchteil der verfügbaren Daten getroffen werden.

Was ist problematisch
an isolierten Lösungen?

Daten, die von Sicherheitstools aufgezeichnet werden, werden isoliert analysiert – ihnen fehlt die notwendige Genauigkeit, um versteckte Angriffe zu erkennen.
Warnungen werden isoliert priorisiert – und finden zu wenig schädliche Absichten,
als dass die Teams handeln könnten.
Sicherheitsteams reagieren isoliert – in Einzelebenen und ohne ausreichenden
Kontext oder Koordination.

Theoretisch kann die Aufnahme eines neuen SIEM-Tools (Security Information and Event Management) oder SOAR-Tools (Security Orchestration, Automation, and Response) in eine Sicherheitsumgebung einige zusätzliche Vorteile wie Analytik und Automatisierung bieten. In der Praxis haben die meisten Sicherheitsteams jedoch nicht die Zeit, das Wissen oder das Personal, um die Kalibrierung durchzuführen, die für die Integration ihrer Erkennungs- und Reaktionsfähigkeiten durch diese Tools erforderlich ist. Und selbst wenn dies der Fall ist, erfordert die Aufnahme einer neuen Sicherheitsebene in die Umgebung ein unvorhersehbares Maß an Neukalibrierung. Die durch SIEM oder SOAR erreichte Integration ist zwar in bestimmten Kontexten durchaus wertvoll, reicht aber nicht aus, um die zugrunde liegenden Inkompatibilitäten zwischen Ihren Sicherheitslösungen zu überwinden, die Sie daran hindern, Bedrohungen schnell zu erkennen und Reaktionszeiten zu verkürzen.

Dies führt dazu, dass Teams mit Warnungen überschwemmt werden und nicht in der Lage sind, Metriken wie die mittlere Zeit bis zur Erkennung (MTTD) und die mittlere Zeit bis zur Behebung (MTTR) zu verbessern, sodass sie keine Zeit mehr für andere wichtige Aufgaben wie die Identifizierung von Möglichkeiten zur Automatisierung und die Feinabstimmung wichtiger Richtlinien haben.

Betreten Sie die Welt von XDR

XDR-Lösungen wurden entwickelt, um die Herausforderungen von zu vielen Anbietern, zu wenig Integration, zu wenig Koordination und zu wenig Zeit zu bewältigen.

Gartner definiert Extended Detection and Response (XDR) als eine einheitliche Plattform für die Erkennung von Vorfällen und die entsprechende Reaktion darauf, wobei die Plattform automatisch Daten aus mehreren proprietären Sicherheitskomponenten sammelt und korreliert. Das bedeutet, dass XDR-Lösungen über verschiedene Ebenen von Erkennungs- und Reaktionstools hinweg operieren, ihre unterschiedlichen Datensätze normalisieren, äußerst genaue Analysen durchführen und Aktionen koordinieren, um es den Teams zu erleichtern, den vollen Umfang von Sicherheitsproblemen zu erfassen und schnell und effizient Abhilfe zu schaffen.

Die Stärke eines XDR-Systems beruht auf drei entscheidenden Fähigkeiten:

Erstens: Es muss Sammlungen von historischen und echtzeitorientierten Ereignisdaten in gängigen Formaten zentralisieren und für schnelle indizierte Suchen über unbestimmte Zeiträume durch leistungsstarke und skalierbare Speicherressourcen verfügbar machen.

Zweitens: Es muss mehrere Machine Learning-Verfahren einsetzen, um riesige Mengen an Telemetriedaten von mehreren Produkten zu analysieren und subtile schädliche Aktivitäten zu erkennen.

Drittens: Es muss Automatisierungsfunktionen bieten, um Routineaufgaben zu übernehmen, die die Reaktion beschleunigen – oder sogar proaktiv den Schutz und die Sicherheit verbessern.

XDR vs.
SIEM oder SOAR

Obwohl sie in ihrer Funktion den SIEM- oder SOAR-Systemen ähneln, unterscheiden sich
XDR-Systeme in dreierlei Hinsicht.

Erstens: Der Grad der sofort durchführbaren Integration ist viel höher und erfordert keine teure, arbeitsintensive Kalibrierung.

Zweitens: XDR-Systeme sind ausschließlich auf die Erkennung von Bedrohungen und Incident Response ausgerichtet und verfügen über wesentlich bessere Erkennungs- und Analyseverfahren.

Drittens: Sie setzen in der Regel auf Cloud-nativen Architekturen auf und lassen sich schnell bereitstellen.

Zusammenfassung

XDR-Lösungen ermöglichen einen effizienteren und effektiveren Sicherheitsbetrieb und senken gleichzeitig die Gesamtbetriebskosten der integrierten Lösungen. Das macht das Versprechen dieser Systeme äußerst attraktiv für jedes Unternehmen.

Vertrauen Sie nicht blind der Bezeichnung XDR

Zwar ist eine einheitliche Erkennungs- und Reaktionsplattform ein recht einfaches Konzept, in der Praxis ist es jedoch schwierig, dieses umzusetzen. Laut Gartner ist die sinnvolle Zusammenführung von Datensätzen die zentrale Herausforderung beim Aufbau einer effektiven XDR-Plattform. Wie bereits erwähnt, sind Sicherheitslösungen oft eigenständig aufgebaut und es mangelt in der Regel an APIs, kompatiblen Datenbankstrukturen und Funktionen zur Datennormalisierung, selbst wenn sie vom selben Anbieter stammen. Während die APIs immer besser werden, erfordert das Verständnis der verschiedenen Datensätze und das Einrichten der richtigen Syntax, um eine einheitliche Sicht auf die gesamte Umgebung zu bieten, unglaublich viel Arbeit.

Folglich ist XDR keine Lösung, die schnell zusammengeschustert werden kann. Leider hat das viele Anbieter nicht davon abgehalten, genau das zu versuchen. Zahlreiche Marktteilnehmer, die eigenständige NDR-Lösungen (Network Detection and Response) oder EDR-Lösungen (Endpoint Detection and Response) verkaufen, bilden zunehmend „Partnerschaften“, um mit XDR-Funktionen zu werben. Aufgrund der losen und nicht nativen Integrationen zwischen diesen Partnerschaften können sie jedoch das XDR-Versprechen nicht einlösen.