XDR (Extended Detection and Response) ist ein Sicherheitsansatz, der Erkennung, Untersuchung und Reaktion auf Bedrohungen über mehrere Signalequellen hinweg in einer Plattform bündelt. Während EDR nur Endpunkte überwacht, sammelt XDR Telemetrie aus Endpunkten, Netzwerk, Cloud, E-Mail und Identitätsdiensten und korreliert sie zentral.
Woher kommt der Begriff?
Der Begriff wurde 2018 von Nir Zuk, Mitgründer von Palo Alto Networks, geprägt. Ziel war es, die Silos einzelner Sicherheitsprodukte zu überwinden: Statt vieler getrennter Konsolen für Endpoint, Netzwerk und E-Mail liefert XDR eine einheitliche Sicht auf den gesamten Angriffsverlauf.
Wie funktioniert XDR?
- Datensammlung: Agents und Sensoren erfassen Rohdaten von Endpunkten, Firewalls, E-Mail-Gateways, Cloud-Workloads und Identitätsdiensten.
- Korrelation: Die Plattform normalisiert und verknüpft die Ereignisse, erkennt Angriffsmuster über mehrere Schichten und führt Root-Cause-Analysen durch.
- Automatisierung: Verdächtige E-Mails können automatisch aus allen Postfächern entfernt, kompromittierte Endpunkte isoliert und Konten deaktiviert werden.
- Bedrohungsjagd: XDR unterstützt proaktive Suche nach unbekannten Bedrohungen (Threat Hunting) mit Threat-Intelligence-Daten.
XDR im Vergleich
XDR erweitert die Endpoint-Sicht des EDR um Netzwerk-, Cloud-, E-Mail- und Identitätssignale. Gegenüber einer SIEM-Lösung ist XDR einfacher zu betreiben, dafür weniger frei konfigurierbar. Automatisierte Reaktionen orchestriert eine SOAR-Plattform.
Anbieter
Typische XDR-Lösungen sind Microsoft Defender XDR, CrowdStrike Falcon, Palo Alto Cortex XDR und SentinelOne Singularity. Viele bauen direkt auf bestehenden EDR-Agents auf.
Verwandte Grundlagen: SIEM, Incident Management, Zero Trust, MITRE ATT&CK.