Cyberabwehr in der Industrie: EDR vs. NDR

Industrieunternehmen stehen vor der Herausforderung, IT-Systeme wie Server und Datenbanken zu schützen und gleichzeitig die operative Technologie (OT-Systeme) wie Industrielle Steuerungs- systeme (ICS), Mensch-Maschine-Schnittstellen (HMI), SCADA und IoT-Geräte aufrechterhalten zu müssen. Insbesondere die Befürchtung, dass Sensoren und IoT-Geräte gehackt und die Daten manipuliert werden können, sorgt für Unsicherheit. Wo sollte der Schutz ansetzen?

Die Praxis zeigt, dass Cyberangriffe oft an den Endpunkten beginnen. Ein beschädigter Laptop eines Wartungstechnikers mit Zugang zu Produktionsnetzwerken kann als Ausgangspunkt für Cyberangriffe dienen und eine seitliche Bewegung in OT-Systemen auslösen. Die Statistiken deuten ebenfalls in diese Richtung: Allein im Jahr 2023 entfielen rund 25 % aller gemeldeten Sicherheitsvorfälle auf Industrieunternehmen. Dabei war die IT der Hauptangriffsvektor – 72 % der Angriffe erfolgten von dort aus.

Warum sind die Industrieunternehmen besonders betroffen? Der Grund dafür liegt vor allem in den durch die Vernetzung von IT und OT immer größer werdenden Angriffsflächen, den besonders anfälligen Altsystemen und dem hohen Grad an technologischer und betrieblicher Konnektivität. Die Produktion ist in hohem Maße von kontinuierlichen Abläufen abhängig, Verzögerungen können sich gravierend auf die Lieferkette auswirken. Angriffe können Betriebsunterbrechungen mit schwerwiegenden Auswirkungen verursachen, weshalb Unternehmen oft Lösegeld zahlen, um den Betrieb wiederherzustellen. Doch was ist der effektivste Weg, sich gegen diese Angriffe zu schützen?

Endpunkte oder Netzwerke schützen?

Bei der Auswahl einer Cybersicherheitslösung stehen die Industrieunternehmen oft vor der Wahl zwischen "Endpoint Detection and Response" (EDR) und "Network Detection and Response" (NDR). EDR überwacht Aktivitäten auf Endgeräten wie Desktops, Laptops und Servern, wo Bedrohungen meist beginnen. NDR-Lösungen hingegen konzentrieren sich auf die Analyse des Netzwerkverkehrs, um Bedrohungen durch Anomalien im Informationsfluss zu erkennen. NDR-Werkzeuge eignen sich besonders für die Netzwerksegmentierung, das Aufspüren von lateralem Datenverkehr zwischen IT und OT sowie für den Schutz von Maschinen, die keine Sicherheitssoftware ausführen können.

EDR und NDR nutzen beide eine kontinuierliche Überwachung, um schädliche Aktivitäten zu ermitteln. Bei einer Erkennung wird eine Warnung ausgelöst, die alle für die Reaktion erforderlichen Informationen enthält. Das Ziel von Erkennungs- und Reaktionstechnologien ist es, einen erfolgreichen Einbruch zu erkennen, darauf zu reagieren und den Angriff einzudämmen, bevor es zu einem Schaden kommt. Doch wo sollte dies geschehen – am Endpunkt, im Netzwerk oder an beiden?

Verhalten bei Ransomware, Phishing- und Lieferkettenangriffen

Der jährlich aktualisierte Bericht Enisa Threat Landscape (ETL) zeigt, dass Ransomware, Phishing und Lieferkettenangriffe zu den größten Herausforderungen für Unternehmen gehören.

Ransomware-Angriffe beginnen oft auf Endpunkten durch Phishing oder infizierte Anhänge. EDR erkennt die Verschlüsselung von Massendateien durch Überwachung des Dateisystems und Verhaltensanalyse und beendet die schädlichen Prozesse. NDR hingegen überwacht ungewöhnlichen ausgehenden Datenverkehr zu Command-and-Control-Servern (C2). Wenn eine vertrauenswürdige Software kompromittiert wurde, kann NDR ungewöhnliche Kommunikationsmuster erkennen. Ohne den Kontext von Endpunkten können jedoch Fehlmeldungen auftreten.