Zum Hauptinhalt springen

K-EDR und Action Center

Den Angriff sehen, während er abläuft, und darauf reagieren

K-EDR erfasst die relevanten Ereignisse der Rechner, korreliert sie mit anerkannten Erkennungsregeln und bündelt Warnungen zu Vorfällen. Im Action Center reagieren Sie mit wenigen Klicks.

Am Pilotprogramm teilnehmenDemo anfragen

Das Problem

Angreifer nutzen immer häufiger die legitimen Werkzeuge des Systems. Ohne Einblick in die Abfolge der Prozesse kann ein Einbruch wochenlang unbemerkt bleiben.

Was das Modul leistet

  • Gezielte Telemetrie

    Prozesse, Netzwerkverbindungen, Laden von Bibliotheken, Persistenz, geplante Aufgaben, PowerShell-Skripte.

  • Anerkannte Regeln

    Kompilierte Sigma-Regeln, zeitliche Korrelation und systematische Zuordnung zu MITRE ATT&CK.

  • Lesbare Vorfälle

    Warnungen werden zu Vorfällen mit Zeitachse und Erklärung gebündelt.

  • Signierte Reaktionen

    Isolieren, einen Prozess beenden, in Quarantäne verschieben, Daten sammeln: Jede Aktion ist signiert und protokolliert.

  • Threat Hunting

    Abfragen über den gesamten Gerätepark, gespeicherte Abfragen und Suche nach Kompromittierungsindikatoren.

So funktioniert es

  1. Erfassung

    Der Agent meldet die relevanten Ereignisse, an der Quelle gefiltert.

  2. Korrelation

    Die Regeln erkennen verdächtige Abfolgen und legen Vorfälle an.

  3. Reaktion

    Der Analyst handelt aus dem Action Center, bei Bedarf mit Vier-Augen-Freigabe.

Das sollten Sie wissen

  • Das Modul ist in Entwicklung: Windows-Erfassung und Action Center sind teilweise umgesetzt.
  • Die Erfassung unter macOS hängt von einer Genehmigung von Apple ab; andernfalls ist eine Ausweichlösung vorgesehen.
  • Kayzen stellt kein eigenes SOC rund um die Uhr bereit: Eine Partnerschaft ist für Phase 6 vorgesehen.

Häufige Fragen

Fragen zu diesem Modul

Braucht man ein Sicherheitsteam, um das EDR zu nutzen?

Die Vorfälle werden einfach erklärt, und der Copilot-Assistent hilft beim Verständnis, aber eine fortlaufende Überwachung setzt eine dafür zuständige Person oder einen Dienstleister voraus.

Werden die Beschäftigten überwacht?

Die Telemetrie betrifft Prozesse und das System, nicht den Inhalt von Dokumenten. Ihr Einsatz im Unternehmen setzt voraus, dass die Beschäftigten und gegebenenfalls die Arbeitnehmervertretung (CSE) informiert werden.

Ergänzende Module

Praxisleitfäden zur Cybersicherheit

Lust, dieses Modul zu testen?

Das Pilotprogramm gibt Ihnen Zugang zu den Modulen, sobald sie ausgeliefert werden, kostenlos und unverbindlich.

Am Pilotprogramm teilnehmenPlattform entdecken