Ich weiß nicht, ob es euch auch aufgefallen ist, aber ich habe langsam den Verdacht, dass es im Technologiesektor geradezu vor Hype nur so wimmelt. Wenn man es ganz genau nimmt, müssten wir eigentlich alle schon in fahrerlosen fliegenden Autos sitzen, die mit Fusionsenergie und Cloud-Computing betrieben und (natürlich über die Blockchain) mit Kryptowährung bezahlt werden.

Auch die Cybersicherheit bleibt davon nicht verschont: Vielleicht sollten Hoodies und beleuchtete mechanische Tastaturen Gegenstand internationaler Sanktionen sein, um uns vor bösen Menschen in bequemer Kleidung zu schützen.

Es ist schwierig, den Lärm – insbesondere den übertriebenen Hype – zu durchschauen, und eine bestimmte Nuance macht es nicht einfacher: Unter den gängigen Cybersicherheitsprodukten auf dem Markt sind nur sehr wenige objektiv schlecht. Aber sie gehen oft unterschiedlich an ihre Aufgabe heran und eignen sich am besten für die Bedürfnisse verschiedener Organisationen.

Hier kommen unabhängige Stellen wie Analystenhäuser und Testlabore ins Spiel, um Perspektiven, Einblicke und Bewertungen zu liefern.

Warum Analysten und Testlabore in der Cybersicherheit wichtig sind

Analysten befragen sowohl Anwender als auch Anbieter, um herauszufinden, was funktioniert und für wen es am besten funktioniert. Dabei betrachten sie den gesamten Markt und verfolgen bestimmte Aspekte sehr detailliert, oft über viele Jahre hinweg. Ihre Meinung hat Gewicht in Vorstandsetagen und bei Führungskräften, die nach einem übergeordneten Überblick suchen, der auf einer Vielzahl von Erkenntnissen und Belegen basiert.

Auf operativer Ebene sind detailliertere Informationen darüber erforderlich, wie diese Lösungen funktionieren und was sie gut leisten – und hier kommen die Testlabore ins Spiel. Eine kleine Anzahl von Testlabors bewertet und berichtet seit Jahren kontinuierlich über Cybersicherheitsprodukte: AV-Comparatives, AV-Test, SE Labs und MITRE genießen sowohl bei Käufern als auch bei Anbietern das Vertrauen, unabhängige Einschätzungen darüber zu liefern, wie gut ein Cybersicherheitspaket funktioniert. AV-Comparatives zertifiziert regelmäßig Endpoint Protection and Response (EPR)-Lösungen, wie beispielsweise ESET PROTECT Enterprise Cloud.

Die Wahrheit über Zertifizierungen oder warum die Bewertung nicht so einfach ist

Die EPR-Zertifizierung ist an sich schon eine gute Sache. Doch bei einer vergleichenden Bewertung wird auch gemessen, wie gut die aktive oder passive Reaktion einer Lösung ist und den Gesamtkosten gegenübergestellt. Doch wie AV-Comparatives betont, bedeutet eine Platzierung ganz oben rechts im „Enterprise CyberRisk Quadrant“ nicht zwangsläufig, dass die Lösung eines Anbieters für jedes Unternehmen die beste ist. Zitat: „Produkte in den unteren Bereichen des Quadranten könnten Funktionen aufweisen, die sie für Ihre spezielle Umgebung besonders geeignet machen.“

Konkreter wird AV-Comparatives bei seinen Tests im Rahmen der „EDR Detection Validation Certification“, bei denen Endpoint Detection and Response-Lösungen – darunter auch ESET PROTECT Elite – in simulierten Angriffen detailliert geprüft werden. Es ist erwähnenswert, dass dieser Test ausschließlich die Erkennungsfähigkeiten bewertet und dass ESET sowie andere Anbieter regelmäßig an diesem Test teilnehmen.

Die wichtigen Punkte

Es lohnt sich, die Vorgehensweise des Testteams von AV-Comparatives bei dieser Bewertung zu erläutern, da sein Ansatz zwei recht häufige Herausforderungen für Sicherheitsteams aufgreift: (1) herauszufinden, in welcher Phase eines Angriffs die Alarme ihrer Sicherheitslösungen ausgelöst werden, und (2) wie „verrauscht“ der normale Betrieb ist. Dieser letzte Punkt ist wichtig, und AV-Comparatives bezeichnet ihn als „Signal-Rausch-Verhältnis“.

Was bedeutet das? Nun, es ist zwar schön und gut, ein Tool zur Verfügung zu haben, das bei jedem Anzeichen eines potenziellen Angriffs Alarm schlägt. Doch dies kann Sicherheitsteams schnell überfordern und es einem echten Angriff erleichtern, sich in einer großen Menge von Warnmeldungen zu verstecken.

Wo ESET im Validierungs- und Zertifizierungstest von AV-Comparatives gut abgeschnitten hat

Die Kunst bei den meisten EDR-Lösungen und Managed Detection and Response-Diensten besteht darin, das Rauschen überschaubar zu halten und gleichzeitig die Aufgabe zu erfüllen: Man denke an Warnmeldungen und Erkenntnisse, die nützlich sind, anstatt nur zu beunruhigen. Um auf das erste Kriterium des Testteams zurückzukommen: Das bedeutet, dass die Sicherheitslösung Angriffe effizient erkennen muss. Dies muss nicht in jeder einzelnen Phase geschehen – unter anderem, weil ständige Warnmeldungen zu Beginn oder in späteren Phasen eines Vorfalls nicht immer besonders hilfreich sind –, aber es muss geschehen, um Kontext und nützliche Warnmeldungen zu liefern.

ESET PROTECT Elite Cloud schnitt gut ab. Von den 14 Schritten des simulierten Angriffs meldete das EDR 11. Die drei „fehlenden“ Erkennungen verteilen sich über den gesamten Angriff, was darauf hindeutet, dass die Verteidiger in den meisten Fällen bereits auf das Geschehen aufmerksam sein werden. Dies ist auch beim Kauf zu berücksichtigen: Verfügen Sie bereits über Tools, die diese Punkte abdecken?

Beispielsweise verfügt Ihre Unternehmens-E-Mail-Plattform möglicherweise bereits über Gegenmaßnahmen wie Sandboxing gegen die Verbreitung von Malware. Auch hier gilt: Ihre Sicherheitsumgebung ist einzigartig, und Sie verfügen möglicherweise über gut durchdachte Abwehrmaßnahmen für Ihre spezifische Infrastruktur.

Ich habe bereits erwähnt, dass dies die neueste Ausgabe dieses Tests für ESET PROTECT ist, und es lohnt sich aus zwei Gründen, einen Blick auf die historische Entwicklung zu werfen: erstens das langfristige Engagement und die Entwicklung im Bereich Cybersicherheit und zweitens die historischen Indikatoren sowohl für eine erfolgreiche Erkennung (in diesem Fall) als auch für Verbesserungen oder Updates, die die Lösung entweder auf dem neuesten Stand gehalten oder Mängel in früheren Versionen behoben haben.

Bei der Interpretation ist der Kunde König

Zwei Dinge sind also zu beachten: Erstens sind die Ergebnisse von Testlabors für technische Einkäufer äußerst nützlich, um sowohl die Leistungsfähigkeit zu bewerten als auch zu beurteilen, wie Produkte oder Lösungen in ihre Organisationen passen könnten. Um eine Analogie zu ziehen: Ein Geländemotorrad, ein Geländewagen und ein Bulldozer sind alle in der Lage, unwegsames Gelände zu bewältigen, aber jedes Fahrzeug ist auf unterschiedliche Nutzer zugeschnitten. Zweitens liefern sowohl einzelne Ergebnisse als auch Ergebnisreihen über einen längeren Zeitraum hinweg einen Beleg für alle, die nach potenziellen Lösungen für ihr Unternehmen suchen – insbesondere in Kombination mit Beiträgen und Einschätzungen von Branchenanalysten und Fachkollegen.

„Letztendlich hat uns ESET PROTECT Elite stolz gemacht. ESET hat den EDR-Erkennungsvalidierungstest bestanden, indem es mehrere im Testangriffsszenario eingesetzte Techniken erfolgreich erkannt hat und dabei robuste Erkennungsfähigkeiten in mehreren kritischen Phasen der simulierten Angriffskette unter Beweis gestellt hat“, sagte Pavol Balaj, Chief Business Officer bei ESET.

Wie AV-Comparatives es formulierte: „lieferte ESET eine starke Erkennung zur Ausführungszeit, einen guten Prozesskontext und mehrere wirklich nützliche Warnmeldungen in Bezug auf Malware-Ausführung, -Injektion, C2-Verhalten und Missbrauch von Administratorrechten; weniger konsistent war die Leistung jedoch, wenn der Angriff auf gültige Anmeldedaten, unauffälligere Erkundungsmaßnahmen oder fortgeschrittene Active-Directory-Techniken setzte, die mehr semantisches Verständnis erforderten als reine Transparenz auf Prozessebene.“

Kontinuierliche Weiterentwicklung ist der Schlüssel

Cybersicherheit ist ein Prozess der kontinuierlichen Weiterentwicklung, der allen Anbietern in diesem Bereich gemeinsam ist, und unabhängige Tests wie die EDR-Erkennungsvalidierung von AV-Comparatives sind eine große Hilfe, da sie genau aufzeigen, wo wir unseren Kunden das Leben erleichtern können. Der Umgang mit Angreifern, die gültige Anmeldedaten verwenden, ist ein solcher Bereich, und ESET stärkt diesen aktiv durch identitätsbasierte Erkennung auf mehreren Ebenen.

Derzeit umfasst ESET PROTECT spezielle EDR-Erkennungsfunktionen für identitätsbezogene Bedrohungen, die mit Vorfällen korreliert werden. Hat der Kunde die Integration mit Microsoft Entra ID oder Active Directory eingerichtet, werden in der Vorfallansicht auch relevante Details zur betroffenen Identität angezeigt und identitätsbezogene Reaktionsmaßnahmen direkt angeboten. ESET erfasst identitätsbezogene Indikatoren aus integrierten Quellen (derzeit Microsoft Entra ID) und stellt sie zur Untersuchung in der erweiterten Suche bereit; die direkte Korrelation dieser Indikatoren mit Vorfällen wird derzeit hinzugefügt. Darüber hinaus entwickelt ESET eine Lösung zur Erkennung und Reaktion auf Identitätsbedrohungen (Identity Threat Detection and Response, ITDR), die Telemetriedaten aus Microsoft Entra ID und Active Directory erfasst und ESET-eigene Identitätsindikatoren generiert, die in Vorfälle einfließen, um diese Bedrohungen umfassender aufzudecken.

Die zuverlässige Erkennung dieser Bedrohungen stellt eine echte Herausforderung dar: Aktivitäten, die mit gültigen Anmeldedaten durchgeführt werden, offenbaren selten die Absicht in einem einzelnen Vorfall, und ein einzelnes Signal reicht nicht immer aus, um verdächtige von legitimen Nutzungen zu unterscheiden – insbesondere während der ruhigeren, frühen Erkundungsphase. Durch die Korrelation weiterer Signale über mehrere Perimeter hinweg erwartet ESET, diese Angriffe effektiver und konsistenter aufzudecken, wobei die Warnmeldungen aussagekräftig bleiben und nicht übermäßig zahlreich sind. Für Unternehmen, die darüber hinaus heute eine von Menschen geleitete vertiefte Analyse wünschen, bieten ESET MDR und ESET Private SOC eine fachkundige Analyse der ruhigeren Phasen eines Angriffs.

Fazit

Wir empfehlen Ihnen, den vollständigen Bericht (sowie ähnliche Berichte anderer Anbieter, die Sie in Betracht ziehen) zu lesen, bevor Sie eine Entscheidung darüber treffen, welche Lösung für Sie am besten geeignet ist. Diese Testberichte gehören zu den wertvollsten Informationen, die verfügbar sind, um den Hype zu durchschauen und ein tatsächliches Verständnis zu erlangen.