EDR (Endpoint Detection and Response) ist eine Sicherheitstechnologie, die Endgeräte wie PCs, Laptops und Server kontinuierlich überwacht und Angriffe erkennt, untersucht und abwehrt, die klassische Antivirenprogramme übersehen. Der Begriff wurde 2013 von Anton Chuvakin (damals Gartner) geprägt.
Wie funktioniert EDR?
- Agents: Ein Sensor läuft auf jedem Endpunkt und sammelt Telemetrie – Prozessstarts, Dateizugriffe, Netzwerkverbindungen, Registry-Änderungen und Speicheraktivitäten.
- Erkennung: Die Zentrale korreliert die Daten, reichert sie mit Threat Intelligence an und wendet Verhaltensanalysen und Machine Learning an.
- Reaktion: Verdächtige Prozesse lassen sich isolieren, beenden oder zurücksetzen (Rollback); Forensik-Daten bleiben für Untersuchungen erhalten.
- Kernnähe: Moderne EDR-Agents nutzen Kernel-Telemetrie, um auch Angriffe zu sehen, die sich im Speicher abspielen (Fileless-Malware).
Abgrenzung zu Antivirus und XDR
Klassische Antivirus-Software erkennt bekannte Signaturen. EDR ergänzt verhaltensbasierte Erkennung, kontinuierliche Aufzeichnung und aktive Reaktion. XDR erweitert den Endpoint-Fokus auf Netzwerk, Cloud und E-Mail; die Endpoint-Telemetrie von EDR ist dabei die wichtigste Datenquelle.
Bedeutung für Security Operations
EDR ist heute Standardbaustein in Security Operations Centers und liefert die zentrale Telemetrie für SIEM-Systeme und SOAR-Playbooks. Es ergänzt Maßnahmen wie Zero Trust und die Firewall.
Verwandte Grundlagen: XDR, Malware, Incident Management, Threat Hunting.