Xcitium OpenEDR

Angreifer und Admins in der Falle

von Martin Loschwitz

Angriffserkennung am Endpunkt – Endpoint Detection and Response – ist in den vergangenen Jahren zu einem riesigen Markt in der IT geworden. OpenEDR tritt mit einsehbarem Quellcode an und will Admins dabei helfen, Angriffe zu erkennen und angemessen zu reagieren. Doch während noch zu verkraften wäre, dass die Software kein echtes Open Source ist, ist der Weg zum lokalen Betrieb zäh. Will der IT-Verantwortliche diese Hürden vermeiden, stolpert er mit OpenEDR in eine Datenschutzfalle.

Aus IT-Administrator 02/2023

Die Endgeräte der Mitarbeiter sind das Einfallstor für Malware und Hacker schlechthin. Wie Sie hier für deutlich mehr Sicherheit sorgen, erfahren Sie in der ... (mehr)

Endpoint Detection and Response (EDR) will erfolgreiche Angriffe auf Endgeräte wie Laptops oder Smartphones bereits im Entstehen erkennen und durch kluge Gegenmaßnahmen verhindern. Mancher Admin mag sich dabei an die gute alte Antivirus-Software erinnert fühlen, doch greift dieser Vergleich zu kurz, denn EDR geht viel weiter, als durch Signaturen bestimmter Dateien Malware zu identifizieren. Das EDR-Prinzip fuß darauf, quasi den gesamten I/O eines Systems, also Netzwerk, Festplattenaktivität und alles dazwischen, minutiös aufzuzeichnen und zu analysieren. Zum Einsatz kommen viel weniger Signaturen einzelner Dateien, sondern komplexe Heuristiken. So soll es gelingen, auch andere Angriffsarten als klassische Malware-Angriffe zu identifizieren und zu unterbinden.

Doch IT-Verantwortliche wissen, dass von einer auf einem Client installierten EDR-Software ein erhebliches Risiko ausgehen kann. Denn wenn diese schlecht programmiert ist, dient sie im blödesten Fall Angreifern als Einfallstor und nicht als effektive Sperre. Manche Unternehmen sind deshalb wenig angetan von der Idee, kommerzielle EDR-Software zu nutzen, deren Quelltext nicht verfügbar ist. Hier kommt Xcitium ins Spiel, eine Firma, die manche möglicherweise noch unter dem alten Namen "Comodo Security Solutions" kennen. Deren Produkt OpenEDR kommt nicht nur mit veröffentlichtem Quelltext daher, sondern preist sich explizit auch als bestes EDR an. Neben der Analyse auf den Endgeräten findet dazu auch

...

Der komplette Artikel ist nur für Abonnenten des ADMIN Archiv-Abos verfügbar.