Die moderne Netzrealität
Vor nicht allzu langer Zeit konnte man sich das "Netzwerk" noch leicht vorstellen: Rechenzentren und Campus-Umgebungen mit einem definierten Umkreis. Diese Welt gibt es nicht mehr. Heute umfasst das moderne Netzwerk Rechenzentren, Remote-Mitarbeiter, SaaS-Plattformen, cloud , IoT- und OT-Geräte und - was am wichtigsten ist - Identitäten, die alles miteinander verbinden.
Diese Erweiterung hat die Angriffsfläche in ein riesiges, hybrides, vernetztes Ökosystem verwandelt. Und die Angreifer haben sich angepasst. Sie denken nicht mehr in Silos wie "endpoint", "cloud" oder "Identität". Sie sehen eine große, einheitliche Oberfläche, die sie infiltrieren, durchdringen und ausnutzen können.
Aus diesem Grund erstrecken sich 40 % der Sicherheitsverletzungen über mehrere Domänen, und ransomware können sich in weniger als 48 Minuten seitlich bewegen. Die Schlussfolgerung ist einfach: Wenn wir weiterhin in Silos verteidigen, werden die Verteidiger immer zurückbleiben.
Die SOC-Herausforderung
Die meisten Unternehmen haben stark in Tools investiert: EDR für Endpunkte, SIEM/SOAR für Protokollkorrelation und Workflows und jetzt XDR für die "Plattformisierung". Diese Investitionen sind notwendig, aber sie reichen nicht aus. Und warum?
Weil SOC-Teams in Warnmeldungen ertrinken. Die Teams erhalten fast 4.000 Warnmeldungen pro Tag, doch weniger als 1 % davon sind verwertbar. Analysten verbringen fast drei Stunden pro Tag nur mit der Verwaltung von Warnmeldungen, während Angreifer in weniger als einer Stunde seitlich ausweichen.
Dies ist das "Dilemma der Verteidiger". Die Tools sind verrauscht, isoliert und auf die Einhaltung von Vorschriften oder die Vorbeugung abgestimmt - und nicht auf die Echtzeit-Erkennung von heimlichem Angreiferverhalten. Aus diesem Grund sagen mir so viele SOC-Leiter: "Es ist nur eine Frage der Zeit, bis wir etwas übersehen.
Warum EDR nicht ausreicht
EDR bleibt grundlegend. Aber sie war nie dazu gedacht, alles abzudecken. Bedenken Sie:
- Abdeckungslücken: EDR-Agenten können nicht auf nicht verwalteten Geräten, IoT-, OT- oder Drittanbietersystemen ausgeführt werden. Dennoch zielen Angreifer absichtlich auf diese blinden Flecken.
- Umgehung und Umgehung: EDR wird routinemäßig deaktiviert oder umgangen. CISA Red Team-Bewertungen haben gezeigt, wie Angreifer Treibermanipulationen, das Einbinden von VM-Festplatten oder Tools zum Entfernen von Hooks nutzen, um endpoint zu überlisten.
- Identitätsmissbrauch: Wenn sich Angreifer "einloggen", anstatt sich zu "hacken", sieht EDR oft nichts Bösartiges. Missbrauch von Privilegien, Diebstahl von OAuth-Token, Delegation von Postfächern - all das sieht nicht wie malware aus, ist aber für Angreifer Gold wert.
- Blinde Flecken im Netzwerk: EDR sieht, was auf dem Host passiert. Es sieht nicht den Ost-West-Verkehr zwischen Systemen, verschlüsselte Tunnel oder seitliche Schwenkungen über Domänen hinweg.
Einfach ausgedrückt: Wenn Sie sich ausschließlich auf EDR verlassen, sind Sie für einen Großteil der modernen Angriffe blind.
Warum SIEM und SOAR zu kurz greifen
SIEMs und SOAR-Plattformen versprechen zentrale Transparenz und automatisierte Arbeitsabläufe. Sie hängen jedoch von der Qualität der aufgenommenen Daten ab. Müll rein, Müll raus.
- Volumen vs. Wert: SIEMs nehmen täglich Tausende von Protokollereignissen auf, aber den meisten fehlt der Kontext, um zwischen gutartig und bösartig zu unterscheiden.
- Latenzzeit: Die protokollbasierte Korrelation ist reaktiv und langsam. Wenn die Signale zusammengeführt werden, sind die Angreifer bereits weitergezogen.
- Komplexität: Die Pflege von Regeln und Playbooks ist arbeitsintensiv. SOCs verbringen oft mehr Zeit mit der Abstimmung als mit der Untersuchung.
SIEM/SOAR sind für die Einhaltung von Vorschriften und die Orchestrierung notwendig. Sie sind jedoch kein Ersatz für eine verhaltensbasierte Echtzeit-Erkennung.
Wo XDR hineinpasst
XDR hat sich als eine Antwort auf den Tool-Wildwuchs herauskristallisiert. Richtig gemacht, verspricht es die Integration von endpoint, Netzwerk, cloud und Identität. Die meisten "XDR"-Angebote sind heute jedoch lediglich Ökosysteme von Anbietern, die ihre EDR- oder SIEM-Kernfunktionen erweitern. Das bedeutet, dass die gleichen blinden Flecken und Silos fortbestehen.
XDR ohne ein zuverlässiges Netzwerk- und Identitätssignal ist nur EDR mit einem neuen Namen. Und ohne dieses Signal ist XDR immer noch auf der Jagd nach Alarmen, anstatt Angriffe zu erkennen.
Warum NDR für moderne SOCs unerlässlich ist
An dieser Stelle kommt Network Detection and Response (NDR) ins Spiel. Moderne NDR-Plattformen wie Vectra AI wurden speziell dafür entwickelt, Kompromittierungen anzunehmen und zu erkennen, was andere Tools übersehen:
- Agentenlose Abdeckung: NDR bietet Einblick in nicht verwaltete Geräte, IoT/OT, cloud und Identitäten - überall dort, wo endpoint nicht hingehen können.
- Verhaltensbasierte Erkennung: Anstatt sich auf Signaturen zu verlassen, nutzt NDR KI, um Angreifermethoden wie versteckte Tunnel, Missbrauch von Berechtigungen und Seitwärtsbewegungen zu erkennen - selbst wenn Angreifer gültige Anmeldedaten verwenden.
- Sichtbarkeit des Ost-West-Verkehrs: NDR inspiziert die interne Kommunikation, in der Angreifer nach der Kompromittierung leben, und deckt Aufklärungs-, Persistenz- und Exfiltrationsaktivitäten auf.
- Rauschunterdrückung: Der NDR von Vectra AIfiltert bis zu 99 % des Alarmrauschens heraus, sodass sich die Analysten nur auf validierte, priorisierte Angriffsverläufe konzentrieren können.
- Integrierte Reaktion: NDR lässt sich in SIEM, SOAR und EDR integrieren und löst in Echtzeit die Isolierung von Hosts, das Zurücksetzen von Anmeldeinformationen oder Firewall-Sperren aus.
Stellen Sie es sich so vor: EDR versucht, Angreifer am Eindringen zu hindern. NDR stoppt sie, wenn sie schon drin sind. Zusammen bilden sie die beiden Seiten der modernen Verteidigung.
Kombination von NDR, EDR und SIEM: Ein hybrider SOC-Visibility-Ansatz
Die SOC Visibility Triade - SIEM, EDR und NDR - ist nach wie vor das beste Modell für eine vollständige Abdeckung. Jedes Tool hat seine Aufgabe:
- SIEM/SOAR für Compliance, Aggregation und Orchestrierung.
- EDR für detaillierte endpoint und -eindämmung.
- NDR für Echtzeit-Erkennung im Netzwerk, in der cloud und in der Identität - wo Angreifer nach der Kompromittierung tatsächlich leben.
Der Unterschied ist, dass NDR heute nicht mehr optional ist. Es ist die fehlende Schicht, die die Erkennungsarchitektur des SOC vervollständigt.
Ergebnisse aus der Praxis mit NDR
Unternehmen, die NDR neben ihren EDR-, SIEM- und SOAR-Stacks einsetzen, berichten durchweg von messbaren Verbesserungen:
- 391% ROI bei sechsmonatiger Amortisation.
- 52 % mehr erkannte Bedrohungen in 37 % weniger Zeit.
- 99 % weniger Alarmgeräusche und 40 % mehr SOC-Effizienz.
- Verkürzung der MTTD und MTTR von Tagen auf Stunden.
Dies sind keine Werbeaussagen. Es sind Ergebnisse von echten Kunden, die auf die harte Tour gelernt haben, dass Endpunkte und Protokolle allein nicht ausreichen.
Die Quintessenz: Warum NDR nicht mehr optional ist
Moderne Netzwerke erfordern moderne Verteidigungsmaßnahmen. Angreifer bewegen sich schnell, leben vom Land und nutzen blinde Flecken auf eine Art und Weise aus, für die traditionelle Tools nicht ausgelegt sind.
EDR ist notwendig, aber nicht ausreichend. SIEM/SOAR sind wertvoll, aber sie sind keine Erkennungsmaschinen. XDR verspricht Integration, aber ohne NDR ist sie unvollständig.
NDR ist die einzige Technologie, die die erforderliche Abdeckung, Klarheit und Kontrolle bietet, um moderne Angriffe im gesamten hybriden Netzwerk zu erkennen und zu stoppen.
Wenn Sie Ihr Unternehmen davor schützen wollen, in die nächste Schlagzeile zu geraten, können Sie es sich nicht leisten, NDR als optional zu betrachten. Sie ist unverzichtbar.
Quellen
- Vectra AI, 2024 State of Threat Detection and Response: Das Dilemma der Verteidiger
- Vectra AI, Bericht über die Effizienz der Erkennung und Reaktion auf Bedrohungen 2024
- Vectra AI, Forschungsbericht: Lärm reduzieren, Bedrohungen verstärken (2025)
- Vectra AI, Der Fall für Netzwerkerkennung und Reaktion (2025)
- Vectra AI, 5 Gründe, warum EDR nicht genug ist (2025)
- CrowdStrike, Globaler Bedrohungsbericht 2025
- IBM, Bericht über die Kosten einer Data Breach 2024
- IDC, Der Geschäftswert von Vectra AI (2025)