Endpoint Detection and Response

Als Endpoint Detection and Response oder auch Endpoint Detection and Response Software (kurz EDR) wird ein Begriff in der Cybersecurity beschrieben. EDR stellt dabei den Schutz an einem Endgerät dar. Diese Endgeräte können PCs, Laptops, Mobiltelefone oder IoT sein. Ein wesentlicher Unterschied zu Antivirensoftware ist, dass man nicht einfach nur die Dateien scannt, sondern auch das Verhalten des Geräts auf Auffälligkeiten untersucht. Die Untersuchung kann zum Beispiel auf dem Endgerät verlaufen, jedoch können die Daten auch an eine Plattform gesendet und dort analysiert werden.

EDR Lösungen kamen etwa 2010 auf als neue Attacken bekannt wurden. War es früher ausreichend, Malware auf ausführbaren Dateien zu transportieren, so tauchte Malware vermehrt in Dokumenten und darin versteckten Scripts auf. Auch kamen Attacken auf, welche ohne klassische Dateien funktionierten. So waren Attacken mithilfe von Server Message Block (SMB) verbreitet und konnten mit klassischer Antivirensoftware nicht mehr entdeckt werden. 2013 wurde dann erstmals der Begriff Endpoint Detection and Response von Anton Chuvakin verwendet. Als Nachfolger werden XDR welche nicht nur den Endpoint analysiert, sondern auch den Verbund verschiedener Endgeräte analysiert angesehen. Auch MDR wird als Nachfolger von EDR gesehen, weil dort extern auf die Bedrohungslage reagiert wird. Das bedeutet eine Entlastung interner Teams, speziell in kleineren Firmen ohne große Ressourcen.