Monitoring van het aanvalsoppervlak versus EDR en XDR: aanvulling, geen concurrent

Externe monitoring van het aanvalsoppervlak en EDR of XDR beantwoorden verschillende vragen. EDR (endpoint detection and response) en XDR (extended detection and response) bewaken wat er gebeurt op uw laptops, servers, cloudaccounts en netwerk: processen, logins, bestandswijzigingen, verdacht gedrag. Externe monitoring van het aanvalsoppervlak bewaakt hoe uw bedrijf eruitziet vanaf internet: domeinen, DNS, certificaten, e-mailinstellingen, websites en open diensten.

Het korte antwoord is dus: ze concurreren niet. EDR en XDR vertellen u wanneer er binnen iets gebeurt. Externe monitoring vertelt u welke deuren van buitenaf zichtbaar zijn, vaak voordat iemand ze aanraakt, en bestrijkt ook zaken die nooit op een apparaat draaien dat u beheert.

Betaalt u al voor een EDR- of XDR-platform, dan legt dit artikel uit wat het niet ziet en hoe u dat gat dicht zonder dezelfde functionaliteit 2 keer te kopen.

Waar EDR en XDR goed in zijn

EDR draait een agent op elk endpoint. Die registreert procesactiviteit, blokkeert bekend kwaadaardig gedrag en laat een analist een machine onderzoeken en isoleren. XDR trekt hetzelfde idee door en correleert signalen uit meer bronnen, zoals e-mailgateways, identiteitsproviders, cloudworkloads en netwerksensoren.

Beide zijn sterk in:

• Malware en verdacht gedrag op beheerde apparaten detecteren.
• Ongebruikelijke logins en laterale bewegingen binnen het netwerk opmerken.
• Incidentresponders een tijdlijn geven van wat er op een machine is gebeurd.
• Een incident indammen door een host te isoleren of een account uit te schakelen.

Hun zicht reikt zo ver als de plekken waar hun agents en integraties geïnstalleerd zijn.

Wat ze niet kunnen zien

Een groot deel van de blootstelling van een bedrijf zit op systemen zonder agent, of op systemen die u helemaal niet zelf beheert:

• DNS en domeinen. Een gewijzigde nameserver, een domein dat bijna verloopt of een overdracht naar een andere registrar gebeurt bij uw registrar, niet op een endpoint (zie wijzigingen van nameserver en registrar).
• E-mailauthenticatie. Zonder DMARC kan iemand vanaf zijn eigen servers e-mail versturen die eruitziet als de uwe. Uw EDR ziet die e-mail nooit.
• Lookalike-domeinen en valse inlogpagina's op de infrastructuur van iemand anders.
• Vergeten hosts: een oude stagingsite bij een bureau, een marketingpagina in een gehoste sitebouwer, een testserver waarop niemand een agent heeft geïnstalleerd. Zie vergeten staging- en testservers.
• TLS-certificaten die voor uw namen zijn uitgegeven, en hun vervaldatum.
• Diensten die vanaf internet bereikbaar zijn op hosts buiten uw inventaris.

Dat zijn precies de zaken die een aanvaller als eerste bestudeert. MITRE ATT&CK noemt verkenning (reconnaissance) als aparte tactiek, met technieken zoals het doorzoeken van open technische databases en van websites van het slachtoffer. Dat gebeurt voordat er ook maar één stuk malware draait.

Van binnen naar buiten en van buiten naar binnen

Het verschil zit vooral in de richting.

• Van binnen naar buiten (EDR, XDR): begin bij de apparaten die u kent en bewaak ze van dichtbij.
• Van buiten naar binnen (externe monitoring van het aanvalsoppervlak): begin bij wat het internet over uw bedrijf laat zien en werk terug naar wat van u is.

Met de blik van buitenaf vindt u ook de apparaten die u niet kende. Verschijnt er een host onder uw domein waar uw EDR-console nog nooit van gehoord heeft, dan hebt u een gat in de dekking gevonden, niet alleen een gat in de configuratie.

In het NIST Cybersecurity Framework 2.0 zijn de Core Functions Govern, Identify, Protect, Detect, Respond en Recover. EDR en XDR doen het meeste werk in Detect en Respond. Externe monitoring voedt Identify (uw systemen en blootstelling kennen) en Protect (zwakke instellingen herstellen voordat ze misbruikt worden), en levert een vroeg Detect-signaal voor wijzigingen die buiten uw netwerk worden gedaan.

Zo controleert u of u een gat hebt

Een korte oefening voor uw IT-team:

1. Exporteer de lijst met hosts die uw EDR of XDR afdekt.
2. Stel een lijst op van hostnamen onder uw domeinen, bijvoorbeeld via crt.sh met %.yourcompany.com, aangevuld met uw DNS-zone.
3. Zoek voor elke naam op waarnaar die verwijst en vergelijk:

dig +short app.yourcompany.com
dig +short CNAME promo.yourcompany.com

1. Markeer elke naam die wijst naar een IP-adres of dienst die niet door uw agents wordt afgedekt.
2. Controleer DMARC en de nameservers, waarover geen enkele endpointtool rapporteert:

dig +short TXT _dmarc.yourcompany.com
dig +short NS yourcompany.com

Alles uit stap 4 of een zwak resultaat in stap 5 valt buiten uw huidige detectie.

Beide laten samenwerken

• Stuur externe bevindingen naar dezelfde ticketwachtrij die uw beveiligingsteam al gebruikt, zodat ze geen eilandje op zich worden.
• Vindt externe monitoring een nieuwe host, beslis dan: agent installeren, achter toegangsbeheer plaatsen of verwijderen.
• Gebruik externe meldingen (nieuw certificaat, gewijzigd DNS-record) als context bij onderzoeken in XDR.
• Geef voorrang aan bereikbare diensten met kwetsbaarheden waarvan bekend is dat ze misbruikt worden; CISA houdt daarvoor een Known Exploited Vulnerabilities catalog bij.

Korte checklist

• Kennen wij elke hostnaam onder onze domeinen, en heeft elke naam een eigenaar?
• Heeft elke server die wij draaien een agent, of een vastgelegde reden waarom niet?
• Wie krijgt een melding wanneer nameservers, registrar of MX-records veranderen?
• Staat DMARC op handhaving?
• Zijn poorten voor toegang op afstand en databases dicht naar internet?

De rol van Datahorses

Datahorses is de blik van buiten naar binnen. Wij bewaken uw bedrijf elke dag van buitenaf, zien wat een aanvaller kan zien en sturen bij elke bevinding exacte herstelstappen, zonder uw systemen binnen te gaan of toegang nodig te hebben. Het werkt naast uw EDR of XDR in plaats van die te vervangen; zie hoe wij bewaken en waarom geen toegang nodig is.