Extended Detection and Response (XDR) ist ein Sicherheitsansatz, der Telemetrie von Endpunkten, Netzwerk, E-Mail, Cloud und Identitätssystemen in einer Plattform korreliert, um Angriffe zu erkennen und zu stoppen.
Wie XDR funktioniert
XDR ist aus Endpoint Detection and Response (EDR) hervorgegangen. EDR sieht nur, was auf Rechnern passiert; Angriffe laufen jedoch über E-Mail, Benutzerkonten, Cloud-Dienste und das Netzwerk. Eine XDR-Plattform nimmt Daten aus all diesen Quellen auf, normalisiert sie und verknüpft zusammengehörige Ereignisse zu einem Vorfall – etwa eine Phishing-Mail, einen auf dem Laptop geöffneten Schadanhang, eine verdächtige Cloud-Anmeldung und einen Datenupload zu einem unbekannten Server. Den Begriff machte Palo Alto Networks 2018 populär; inzwischen verwenden ihn die meisten großen Sicherheitsanbieter.
Es gibt zwei Varianten: Native XDR aus den Produkten eines Herstellers und Open XDR, das Drittanbieter-Werkzeuge integriert.
XDR vs. SIEM
Ein SIEM sammelt Logs aus nahezu jeder Quelle und ist flexibel, braucht aber erheblichen Abstimmungs- und Engineering-Aufwand. XDR ist enger gefasst, bringt dafür fertige Erkennungen, Korrelation und Reaktionsaktionen – Host isolieren, Konto sperren, E-Mail löschen – über die integrierten Produkte hinweg mit. Viele Organisationen nutzen beides: XDR für Erkennung und Reaktion, SIEM für Langzeitspeicherung, Compliance und eigene Analysen.
Warum XDR wichtig ist
Sicherheitsteams werden von Alarmen getrennter Werkzeuge überflutet. Durch die Korrelation von Signalen reduziert XDR Rauschen, verkürzt Untersuchungen und hilft kleineren Teams oder einem SOC, schneller zu reagieren. Telemetrie aus mehreren Ebenen unterstützt zudem das Threat Hunting.
Worauf zu achten ist
- Prüfen, welche Datenquellen wirklich integriert sind und wie weit die Reaktionsaktionen reichen.
- Bei Native XDR die Abhängigkeit von einem Anbieter bedenken.
- Auch XDR braucht erfahrene Analysten oder einen Managed Service (MDR).
