Endpoint Detection and Response (EDR)

Wenn NDR der Beobachter im Flur ist, dann ist EDR der Wächter in jedem einzelnen Raum. EDR sieht, was auf dem Gerät selbst passiert: welche Programme starten, welche Dateien sich verändern, ob etwas versucht, sich festzusetzen. Diese Innensicht ergänzt die Außensicht aufs Netzwerk.

Auf jedem geschützten Gerät läuft ein Agent, der Prozesse, Dateizugriffe und Systemverhalten aufzeichnet. Auffälligkeiten werden gemeldet und können automatisiert eingedämmt werden — etwa, indem ein Gerät isoliert wird. EDR erkennt dadurch Bedrohungen, die nur am Endpunkt sichtbar werden und nicht zwingend Netzwerkverkehr erzeugen.

EDR ist stark bei der Erkennung und Eindämmung auf dem Gerät selbst. Die Grenze: Es sieht nur Geräte, auf denen ein Agent installiert ist — nicht aber Geräte ohne Agent, IoT- oder OT-Komponenten oder den Verkehr zwischen Systemen. Diese Lücke schließt die netzwerkweite Sicht von NDR, weshalb beide sich gut ergänzen.