EDR versus SIEM: twee tools, één beveiligingsstrategie

Elk eindpunt in uw omgeving vormt een potentieel toegangspunt. Elke applicatie, clouddienst en netwerkverbinding genereert gebeurtenissen. Het leggen van verbanden tussen deze gebeurtenissen voordat een aanvaller dat doet, vormt de belangrijkste uitdaging voor moderne beveiligingsactiviteiten — en dat is een uitdaging die geen enkele tool in zijn eentje kan oplossen.

EDR en SIEM zijn twee van de belangrijkste technologieën in de moderne cyberbeveiliging. Ze worden vaak met elkaar vergeleken alsof organisaties tussen beide moeten kiezen, maar die vergelijking gaat voorbij aan de kern van de zaak. EDR houdt in de gaten wat er op uw apparaten gebeurt, terwijl SIEM in de gaten houdt wat er in uw hele omgeving gebeurt. Ze beschermen verschillende vlakken, leveren verschillende soorten informatie op en werken het beste wanneer ze zijn geïntegreerd en samen functioneren.

De beveiligingssuite van Kaseya omvat zowel een EDR-softwareoplossing als een SIEM-tool, die naadloos met elkaar zijn geïntegreerd. Hierdoor krijgen we een direct inzicht in hoe deze twee categorieën in de praktijk functioneren binnen MSP- en IT-teamomgevingen wereldwijd.

Wat is het verschil tussen EDR en SIEM?

Zowel EDR als SIEM dragen bij aan het opsporen van bedreigingen, maar ze zijn bedoeld voor verschillende aspecten van het beveiligingsprobleem. Pas als je begrijpt wat elk systeem precies doet en waar de grenzen liggen, wordt duidelijk waarom deze combinatie zinvol is.

Eindpuntdetectie en -respons (EDR)

EDR is een beveiligingstool die eindapparaten, zoals laptops, desktops, servers en virtuele machines, continu controleert op tekenen van kwaadaardige activiteiten. Op elk eindapparaat wordt een lichtgewicht agent geïnstalleerd die in realtime de uitvoering van processen, wijzigingen in het register, aanpassingen aan bestanden, netwerkverbindingen en gebruikersgedrag in de gaten houdt. Wanneer er iets verdacht lijkt, waarschuwt het EDR-platform het beveiligingsteam en kan het, afhankelijk van de configuratie, automatisch reageren door het getroffen apparaat te isoleren, kwaadaardige processen te beëindigen of bestanden in quarantaine te plaatsen.

Het kenmerkende aspect van EDR is de diepgaande inzicht op eindpuntniveau. Het kan precies aangeven welk proces welk subproces heeft gegenereerd, welk bestand op welk tijdstip is gewijzigd en welke netwerkverbinding door welke applicatie tot stand is gebracht. Juist die gedetailleerde forensische informatie maakt incidentonderzoek en analyse van de onderliggende oorzaak mogelijk. EDR is ook de plek waar gedragsdetectie plaatsvindt. In plaats van te vertrouwen op handtekeningen van bekende malware, gebruiken moderne EDR-platforms machine learning om verdachte gedragspatronen te identificeren. Dit maakt ze effectief tegen zero-day-bedreigingen en bestandsloze aanvallen die traditionele antivirussoftware mist.

Wat EDR niet ziet, is alles wat zich buiten het eindpunt afspeelt. Het biedt geen inzicht in het netwerkverkeer tussen apparaten, activiteiten op cloudplatforms, gebeurtenissen in SaaS-toepassingen of identiteits- en toegangslogboeken, tenzij die activiteiten rechtstreeks betrekking hebben op het eindpunt.

Voor een uitgebreid overzicht van hoe EDR werkt, waar je op moet letten bij het kiezen van een oplossing en hoe het zich verhoudt tot traditionele antivirussoftware, kun je onze gids over EDR raadplegen.

Beveiligingsinformatie- en gebeurtenissenbeheer (SIEM)

SIEM vormt de aggregatie- en correlatie-laag van een beveiligingsoperatie. Het verzamelt log- en gebeurtenisgegevens uit de gehele IT-omgeving, waaronder eindpunten, firewalls, cloudplatforms, SaaS-toepassingen, identiteitsproviders en netwerkapparatuur, zet deze gegevens om in een uniform formaat en past correlatieregels toe om verdachte patronen te identificeren die zich over verschillende bronnen uitstrekken en die geen enkele tool op zichzelf zou kunnen leggen.

Waar EDR zich op één specifiek gebied verdiept, bestrijkt SIEM alle gebieden. Het geeft antwoord op vragen waarvoor gegevens uit meerdere bronnen moeten worden gekoppeld: houdt het verdachte proces dat door EDR op deze laptop is gesignaleerd verband met de ongebruikelijke aanmelding op uw identiteitsplatform en de piek in uitgaand verkeer vanuit uw cloudomgeving? SIEM verzorgt ook de compliance-functie, door loggegevens te bewaren gedurende de maanden of jaren die frameworks zoals HIPAA, PCI-DSS, AVG SOC 2 vereisen, en door de bijbehorende auditklare rapporten te genereren.

Voor een uitgebreid overzicht van hoe SIEM werkt en waar je op moet letten bij het kiezen van een oplossing, kun je onze gids over wat SIEM is raadplegen.

EDR versus SIEM: de belangrijkste verschillen

EDR en SIEM maken deel uit van hetzelfde beveiligingsecosysteem, maar pakken verschillende problemen aan. In de onderstaande tabel staan de belangrijkste verschillen op een rijtje.

Zichtbaarheid

Dit is het belangrijkste verschil. EDR biedt diepgaand inzicht in het gedrag van eindpunten, terwijl SIEM een breed overzicht biedt van de gehele omgeving. Een aanvaller die een eindpunt compromitteert en zich vervolgens met gestolen inloggegevens lateraal verplaatst naar een cloudworkload, zal in EDR zichtbaar zijn op het oorspronkelijke eindpunt, uit het zicht van EDR verdwijnen wanneer hij van richting verandert, en weer opduiken in SIEM via de identiteitslogboeken en cloudtoegangsevenementen die zijn bewegingen volgen. Geen van beide tools biedt een volledig beeld zonder de andere.

Detectie en reactie

De reactiemogelijkheden van EDR zijn onmiddellijk en specifiek voor elk eindpunt. Wanneer het een bedreiging detecteert, onderneemt het binnen enkele seconden actie: het apparaat wordt van het netwerk geïsoleerd, het schadelijke proces wordt beëindigd en de getroffen bestanden worden in quarantaine geplaatst — en dat alles voordat de aanvaller verder kan gaan. SIEM genereert waarschuwingen die onderzoek en een reactie vereisen, hetzij handmatig, hetzij via een geïntegreerd SOAR-platform of ingebouwde automatisering. De kracht van SIEM ligt in de kwaliteit van de context die het biedt voor die reactie, niet in de snelheid van autonome actie.

Naleving

SIEM is het belangrijkste instrument voor naleving. Het slaat alle loggegevens op die volgens de regelgeving vereist zijn en genereert de gestructureerde rapporten die auditors nodig hebben. EDR levert auditlogs voor eindpunten en bewijs van actieve dreigingsmonitoring, maar kan op zichzelf niet voldoen aan alle verplichtingen inzake het bewaren van loggegevens en systeemoverschrijdende monitoring die HIPAA, PCI-DSS en AVG .

Vervangt EDR SIEM?

Nee, en het omgekeerde geldt ook. SIEM is evenmin een vervanging voor EDR. Ze beschermen verschillende omgevingen en leveren fundamenteel verschillende soorten informatie op.

De verwarring komt voort uit het feit dat beide tools bedreigingen opsporen. EDR spoort bedreigingen in realtime op het eindpunt op en biedt voldoende inzicht om precies vast te stellen wat er op één specifiek apparaat is gebeurd. SIEM spoort bedreigingen in de hele omgeving op door signalen uit verschillende bronnen in de loop van de tijd met elkaar te correleren. Een EDR-platform dat een verdacht proces op één computer signaleert, weet niet dat dezelfde aanvaller vorige week via een andere aanvalsvector drie andere computers heeft gehackt. Het SIEM-systeem weet dat wel.

Daarnaast speelt ook de nalevingsaspect een rol, waardoor de vraag voor de meeste organisaties niet eens aan de orde is. Als u actief bent in een gereguleerde sector, is SIEM geen optie, hoe krachtig uw EDR ook is. AVG, HIPAA, PCI-DSS en SOC 2 stellen allemaal eisen aan het bewaren van logbestanden en auditrapportages waaraan EDR alleen niet kan voldoen. De logbestanden van EDR hebben betrekking op eindpunten. Regelgevers verwachten echter dat uw gehele IT-omgeving wordt gedekt.

In de praktijk komt het hierop neer: EDR is uw specialist voor eindpunten. SIEM is uw informatieplatform voor de gehele omgeving. Als u een van beide weglaat, ontstaat er een gat dat aanvallers maar al te graag uitbuiten.

Hoe EDR en SIEM op elkaar aansluiten en samenwerken

De integratie tussen EDR en SIEM laat pas echt zien wat de gezamenlijke meerwaarde van beide tools is. Wanneer ze met elkaar zijn verbonden, bieden de twee platforms samen detectie- en onderzoeksmogelijkheden die geen van beide afzonderlijk kan bieden.

Het proces verloopt als volgt. De EDR-agent op een eindpunt detecteert verdacht gedrag, zoals de uitvoering van een ongebruikelijk proces, een poging om beveiligingssoftware uit te schakelen of een verbinding met een bekend schadelijk IP-adres, en genereert een waarschuwing met gedetailleerde telemetriegegevens van het eindpunt. Die telemetrie wordt doorgegeven aan het SIEM-systeem, dat deze gegevens samen met loggegevens uit identiteitssystemen, cloudplatforms, netwerkapparaten en andere bronnen verwerkt. De correlatie-engine van het SIEM controleert vervolgens of de gebeurtenis op het eindpunt verband houdt met andere signalen in de omgeving: was er kort daarvoor een ongebruikelijke authenticatie op hetzelfde account? Is er uitgaand verkeer van hetzelfde apparaat naar een extern IP-adres? Heeft een ander eindpunt in de afgelopen 24 uur soortgelijk gedrag vertoond?

Het resultaat is een uitgebreide, gecorreleerde gebeurtenis in plaats van een op zichzelf staande waarschuwing voor een eindpunt. De analist krijgt de volledige context te zien: wat er op het eindpunt is gebeurd, welke andere gebeurtenissen er in de omgeving in verband hiermee hebben plaatsgevonden, en een tijdlijn die de gehele aanvalsketen omvat, in plaats van alleen het deel dat door de EDR is gedetecteerd.

Deze integratie werkt ook in omgekeerde richting. SIEM-correlatieregels kunnen gebruikmaken van telemetrie van eindpunten om aanvalspatronen te detecteren die zich over meerdere apparaten uitstrekken. Een enkele EDR-waarschuwing op één machine overschrijdt mogelijk niet de drempel voor escalatie. Vijf EDR-waarschuwingen op vijf machines met vergelijkbare procespatronen, die allemaal afkomstig zijn uit hetzelfde subnet binnen een tijdsbestek van 30 minuten en gecorreleerd zijn met ongebruikelijke authenticatiegebeurtenissen in de identiteitslogboeken, vormen een incident op SIEM-niveau dat pas zichtbaar wordt wanneer endpointgegevens in de bredere correlatie-engine worden ingevoerd.

Voor MSP’s die meerdere klantomgevingen beheren, biedt deze integratie extra toegevoegde waarde. Datto EDR stuurt telemetriegegevens van eindpunten via een native integratie rechtstreeks door naar Kaseya SIEM, zodat het SOC-team in één overzicht gedetailleerde informatie op eindpuntniveau en omgevingsbrede correlaties voor alle klanten kan zien, zonder tussen tools te hoeven schakelen.

EDR, SIEM en cyberverzekering

Een praktisch aspect dat zelden aan bod komt in vergelijkingen tussen EDR en SIEM, is dat beide tools inmiddels als standaard worden beschouwd door verzekeraars van cyberverzekeringen — en dat de eisen steeds specifieker worden.

Volgens recente gegevens van verzekeraars eist het merendeel van de aanbieders van cyberverzekeringen tegenwoordig EDR als voorwaarde voor dekking. Het gaat daarbij niet alleen om het bezit van een licentie voor de tool. Verzekeraars willen bewijs zien van actieve monitoring en de status van agents op alle apparaten. Eén enkel onbeheerd eindpunt kan bij verlenging van de polis al een reden zijn om de dekking te weigeren.

SIEM voldoet aan een andere reeks eisen van verzekeraars. Verzekeraars verwachten steeds vaker dat organisaties kunnen aantonen dat ze zorgen voor continue beveiligingsmonitoring, het bewaren van logbestanden en het vermogen om inbreuken snel op te sporen en te melden. SIEM is het standaardmechanisme om aan die eisen te voldoen, met name in gereguleerde sectoren waar regelgevingskaders zoals HIPAA en PCI-DSS specifieke verplichtingen opleggen inzake het bewaren van logbestanden, die verzekeraars tijdens de acceptatieprocedure controleren.

Voor MSP’s biedt dit een directe zakelijke kans. Klanten die nog geen EDR of SIEM hebben geïmplementeerd, komen mogelijk niet in aanmerking voor een verzekering of betalen hogere premies dan nodig is. Door beide oplossingen te implementeren als onderdeel van een gelaagd beveiligingspakket wordt niet alleen aan de verzekeringsvereisten voldaan, maar wordt tegelijkertijd ook de algehele beveiligingspositie van de klant versterkt.

Welke moet je als eerste implementeren?

Voor organisaties die hun beveiligingsarchitectuur uitbreiden, hangt de volgorde af van waar de grootste kwetsbaarheid zich bevindt.

Als eindpunten het belangrijkste aanvalsoppervlak vormen – en voor de meeste kleine en middelgrote bedrijven is dat het geval – dan heeft EDR de hoogste prioriteit. Het biedt onmiddellijke bescherming tegen de meest voorkomende aanvalsvectoren, zoals malware, ransomware en bestandsloze aanvallen die gericht zijn op gebruikersapparaten en servers. EDR is bovendien sneller te implementeren en af te stemmen dan SIEM, dat eerst gegevens uit tientallen bronnen moet koppelen en normaliseren voordat het betrouwbare waarschuwingen kan genereren.

Zodra EDR is geïmplementeerd en betrouwbare telemetrie van eindpunten genereert, voegt SIEM daar een omgevingsbrede correlatielaag aan toe die waarschuwingen van eindpunten omzet in volledige incidentbeschrijvingen. Het voldoet ook aan de nalevings- en logboekbewaarvereisten waar EDR alleen niet aan tegemoetkomt. De EDR-telemetrie wordt daarmee een van de meest waardevolle gegevensbronnen die het SIEM-systeem verwerkt. Hoe volwassener en beter afgestemd het EDR-systeem is, hoe uitgebreider de informatie over eindpunten is waarmee het SIEM-systeem kan werken.

Voor organisaties die al over één tool beschikken, is de weg duidelijk: implementeer de andere tool en integreer beide. Juist in die integratie schuilt de toegevoegde waarde.

Samen sterker: EDR en SIEM van Kaseya

EDR en SIEM zijn geen concurrerende tools. Het zijn complementaire lagen van een beveiligingsarchitectuur die zijn ontworpen om op te vangen wat elk afzonderlijk zou missen. EDR biedt uitgebreide bescherming voor het eindpunt. SIEM koppelt het beeld van het eindpunt aan alle andere onderdelen van uw omgeving. Samen dichten ze de lacune in het inzicht die aanvallers stelselmatig misbruiken wanneer ze zich tussen verschillende systemen verplaatsen.

Voor MSP’s en IT-teams die op zoek zijn naar beide functionaliteiten in één naadloos geïntegreerd pakket, biedt Kaseya Datto EDR en Kaseya SIEM met een native integratie die telemetrie van eindpunten rechtstreeks naar het SIEM-systeem stuurt voor gecorreleerde analyse. Datto EDR detecteert en neutraliseert 99,62% van de malware en kan met één muisklik via Kaseya RMM worden geïmplementeerd op Windows-, macOS- en Linux-eindpunten. Kaseya SIEM correleert die endpointgegevens met cloudapp-telemetrie van SaaS Alerts, netwerkgebeurtenissen en identiteitslogboeken uit meer dan 60 gegevensbronnen, met een logboekbewaring van 400 dagen, geautomatiseerde responsregels en 24/7 SOC-dekking. Voor omgevingen waar het aantal analisten beperkt is, maar het aanvalsoppervlak niet, dekt die combinatie het terrein dat geen van beide tools alleen dekt.