Endpoint Prevention & Response (EPR) Test 2022

Die Einstellungen, die für jedes einzelne Produkt vorgenommen wurden, finden Sie weiter unten in diesem Bericht.

Dieser vergleichende Bericht gibt einen Überblick über die Ergebnisse für alle getesteten Produkte. Es gibt auch Einzelberichte für jedes Produkt, die unter www.av-comparatives.org unter den unten angegebenen Links verfügbar sind:

Bitdefender: https://www.av-comparatives.org/wp-content/uploads/2022/10/EPR_Bitdefender_2022.pdf 
CISCO: https://www.av-comparatives.org/wp-content/uploads/2022/10/EPR_Cisco_2022.pdf
ESET: https://www.av-comparatives.org/wp-content/uploads/2022/10/EPR_ESET_2022.pdf
Kaspersky: https://www.av-comparatives.org/wp-content/uploads/2022/10/EPR_Kaspersky_2022.pdf
Palo Alto Networks: https://www.av-comparatives.org/wp-content/uploads/2022/10/EPR_PaloAlto_2022.pdf

EPR CyberRisk Quadrant™

Produktmerkmale

In diesem Abschnitt geben wir einen Überblick über die Funktionen der Produkte und die damit verbundenen Dienstleistungen der jeweiligen Anbieter. Bitte beachten Sie, dass sich diese Angaben in jedem Fall nur auf das spezifische Produkt, die Stufe und die Konfiguration beziehen, die in unserem Test verwendet wurden. Ein anderes Produkt/Tier desselben Anbieters kann einen anderen Funktionsumfang aufweisen. Im Folgenden zeigen wir für jedes Produkt die Supportfunktionen, die allgemeinen Funktionen, die Produktreaktion, das Management und die Berichterstattung sowie die IOC-Integrationsfunktionen.

Unterstützungsfunktionen

Erforderliche Installationszeit: diese Informationen wurden vom jeweiligen Anbieter zur Verfügung gestellt. Sie gehen von einem Netzwerk mit 5.000 Endpunkten aus und davon, dass bereits optimale Bedingungen (Netzwerkkonnektivität, Hardware, Active Directory usw.) bestehen. Wir weisen darauf hin, dass die hier angegebenen Zeiten als theoretisches Minimum zu betrachten sind und in der Praxis durchaus mehr Zeit benötigt werden kann.

Kostenlose, grundlegende menschliche Unterstützung für den Einsatz: Das bedeutet, dass Sie in Echtzeit mit einem Mitarbeiter des Supports kommunizieren können, der Sie durch den Einrichtungsprozess führt und alle grundlegenden Fragen sofort beantworten kann, die Sie haben. Natürlich bieten viele Anbieter stattdessen/zusätzlich Benutzerhandbücher, Videos und (kostenpflichtige) Premium-Supportdienste für die Bereitstellung an.

Anzahl der benötigten Sicherheitskräfte:  Diese Informationen wurden vom jeweiligen Anbieter zur Verfügung gestellt und gehen von einem Netzwerk mit 5.000 Endpunkten aus. Wir gehen davon aus, dass die von den Anbietern angegebenen Mitarbeiterzahlen (mindestens) verdoppelt werden müssen, um einen 24/7-Betrieb und Urlaube zu ermöglichen.

Professionell unterstützte Ausbildung: Dazu gehört jede Form der interaktiven Schulung mit einem Ausbilder. Bei einigen Anbietern ist die professionelle Schulung in der Lizenzgebühr für 5.000 Kunden enthalten, während andere dafür zusätzliche Gebühren verlangen. Einige andere Anbieter bieten möglicherweise nur Videos und andere Online-Materialien für die Selbstschulung an.

Allgemeine Merkmale

Dieser Abschnitt befasst sich mit allgemeinen Funktionen wie Phishing-Schutz, Web-Zugriffskontrolle, Gerätekontrolle und Schnittstellensprachen.

Mechanismus der Produktreaktion

EPR-Produkte setzen ihre Reaktionsmechanismen ein, um Eindringlinge, die in die geschützte Umgebung eingedrungen sind, zu bekämpfen. Von einem EPR-Produkt wird zumindest erwartet, dass es die Korrelation von Endpunkten, Prozessen und Netzwerkkommunikation sowie die Korrelation von externen IOCs mit der internen Umgebung ermöglicht. Die EDR-Fähigkeiten wurden anhand der Erkennungs- und Reaktionsfähigkeiten des Produkts getestet und untersucht. Wir waren in der Lage, die Ereignisse zu untersuchen, die mit den verschiedenen Schritten korrelierten, die der Angreifer bei seinem Versuch, in die Umgebung einzudringen, unternahm.

Das EPR-Produkt sollte eine vollständige Sichtbarkeit der bösartigen Artefakte/Vorgänge ermöglichen, aus denen die Angriffskette besteht, so dass alle reaktionsbasierten Aktivitäten leicht durchgeführt werden können. Das bedeutet, dass jede Form von vorgesehenem Abhilfemechanismus im Produkt verfügbar ist (Response Enablement) und dieser Mechanismus unten angezeigt wird. Bitte beachten Sie, dass die unten gezeigten Funktionen nur für das spezifische Produkt/die Version gelten, die in diesem Test verwendet wurde. Möglicherweise bietet ein Anbieter zusätzliche Funktionen als Add-on oder in einem anderen Produkt an.

Zentrale Verwaltung und Berichterstattung

Der Management-Workflow ist ein wichtiges Unterscheidungsmerkmal für Sicherheitsprodukte in Unternehmen. Wenn ein Produkt schwierig zu verwalten ist, wird es nicht effizient genutzt werden. Die Intuitivität der Verwaltungsoberfläche eines Produkts ist ein guter Indikator dafür, wie nützlich das Produkt sein wird. Die pro Aktivität eingesparten Minuten können sich im Laufe eines Jahres in Tage und sogar Wochen umwandeln.

Verwaltung: Sichtbarkeit von Bedrohungen, Systemsichtbarkeit und gemeinsame Nutzung von Daten

Die Fähigkeit, Bedrohungskontext bereitzustellen, ist eine Schlüsselkomponente eines EPR-Produkts. Diese Transparenz kann entscheidend sein, wenn Unternehmen entscheiden, ob sie eine bestehende Technologie ergänzen oder ersetzen wollen. Die Verwaltungskonsole kann als physische Appliance, virtuelle Appliance oder Cloud-basierte Appliance implementiert werden. In der Verwaltungskonsole ist eine vollständige Aufzeichnung der Audit-Protokolle verfügbar. Die Kommunikation zwischen dem Agenten und der Verwaltungskonsole erfolgt über SSL. Die folgenden Tabellen enthalten Informationen zu den jeweiligen Funktionen der getesteten Produkte.

EPR-Produktberichtsfunktionen

Eine EPR-Plattform sollte in der Lage sein, Daten zu vereinheitlichen, d. h. Informationen aus unterschiedlichen Quellen zusammenzuführen und sie in ihrer eigenen Benutzeroberfläche als kohärentes Bild der Situation zu präsentieren. Die technische Integration mit dem Betriebssystem und Anwendungen von Drittanbietern (Syslog, Splunk, SIEM oder über API) ist dabei ein wichtiger Bestandteil. Ein EPR-System sollte in der Lage sein, dem Unternehmen angemessene Reaktionsmöglichkeiten zu bieten.

IOC-Integration

Damit soll der digitale Fußabdruck identifiziert werden, anhand dessen die böswillige Aktivität auf einem Endpunkt/Netzwerk erkannt werden kann. Wir werden diesen Anwendungsfall untersuchen, indem wir uns die Fähigkeit des EPR-Produkts ansehen, externe IOCs einschließlich Yara-Signaturen oder Threat Intelligence Feeds usw. zu verwenden, wie in der folgenden Tabelle dargestellt.

Produktkonfigurationen und Einstellungen

In Unternehmensumgebungen und bei Unternehmensprodukten im Allgemeinen ist es üblich, dass die Produkte vom Systemadministrator gemäß den Richtlinien des Herstellers konfiguriert werden. Daher haben wir die Hersteller gebeten, uns zu bitten, alle gewünschten Änderungen an der Standardkonfiguration ihrer jeweiligen Produkte vorzunehmen. Die in diesem Test vorgestellten Ergebnisse wurden nur durch die Anwendung der jeweiligen Produktkonfigurationen wie hier beschrieben erzielt.

Die Konfigurationen wurden zusammen mit den Technikern der jeweiligen Anbieter während der Einrichtung vorgenommen. Diese Konfiguration ist typisch für Unternehmen, die über eigene Sicherheitsteams verfügen, die sich um ihre Verteidigungsmaßnahmen kümmern. Bei Produkten dieser Art ist es üblich, dass die Experten der Hersteller die Unternehmen bei der Einrichtung und Konfiguration unterstützen, die für die jeweilige Art von Unternehmen am besten geeignet ist.

EPR-Testmethodik

Endpoint Prevention Response im Vergleich zum MITRE ATT&CK Framework

Dieser EPR-Produktbericht ist eine umfassende Validierung der Funktionen, der Produktwirksamkeit und anderer relevanter Metriken, die Ihnen bei Ihrer Risikobewertung helfen. Die eingehenden Tests liefen über einen Zeitraum von vier Wochen. Insgesamt wurden 49 Szenarien mit realen Anwendungsfällen in Unternehmen durchgeführt. Diese Szenarien umfassten mehrere Präventions- und Erkennungs-Workflows, die unter normalen Betriebsbedingungen von verschiedenen Benutzer-Personas ausgeführt wurden. Die Ergebnisse der Validierung lassen sich effizient und effektiv auf die MITRE ATT&CK® Platform abbilden (© 2015-2020, The MITRE Corporation. MITRE ATT&CK und ATT&CK sind eingetragene Marken von The MITRE

Gesellschaft) und der NIST-Plattform, so dass es einfacher wird, das Risiko in Bezug auf einen bestimmten Endpunkt zu operationalisieren.

AV-Comparatives hat einen Paradigmenwechsel in der Branche herbeigeführt, indem es eine EPR-Methode definiert hat, die die alltägliche Realität der Anwendungsfälle und Arbeitsabläufe in Unternehmen widerspiegelt und die Sichtbarkeit der Kill-Chain mit dem MITRE ATT&CK-Framework abbildet.

Wie in der folgenden Abbildung dargestellt, haben wir uns von "atomaren" Tests entfernt, d. h. Tests, die nur eine bestimmte Komponente des ATT&CK-Frameworks untersuchen, und stattdessen die EPR-Produkte im Kontext der gesamten Angriffskette bewertet, wobei die Arbeitsabläufe in jeder Phase von der anfänglichen Ausführung bis zur endgültigen Datenexfiltration/Sabotage miteinander verbunden sind.

EPR-Prüfungsablauf

Die nachstehende Grafik gibt einen vereinfachten Überblick über das verwendete Prüfverfahren:

Überblick über den Enterprise EPR Workflow

Prävention (aktive Reaktion)

Die beste Art und Weise, auf eine Bedrohung zu reagieren, besteht darin, sie so schnell wie möglich zu verhindern und effektiv darüber zu berichten. AV-Comparatives definiert Prävention als eine automatisierte, aktive Reaktion, die rund um die Uhr, 365 Tage im Jahr, ohne menschliches Eingreifen, aber mit quantifizierbaren Metriken und Berichtsdatenpunkten, die für eine effektive Analyse genutzt werden können, einsetzt.

Ein EPR-Produkt sollte in der Lage sein, eine Bedrohung auf einem kompromittierten Computer zunächst zu erkennen und zu verhindern. Der Vorfall sollte von einem zentralen Verwaltungssystem aus erkannt, identifiziert, korreliert und durch eine wirksame passive Reaktionsstrategie (teilweise/vollständig automatisiert) behoben werden, idealerweise in Echtzeit. Darüber hinaus sollte der Systemadministrator in der Lage sein, eine Bedrohung auf der Grundlage der gesammelten und analysierten Daten zu klassifizieren und einzuteilen, und er sollte in der Lage sein, eine Reaktion mit Hilfe des EPR-Produkts mit einem spezifischen Workflow abzuschließen.

Eine aktive Reaktion, wie sie in diesem Test definiert wird, ist eine wirksame Reaktionsstrategie, die eine Erkennung mit wirksamen Präventions- und Berichtsfunktionen verbindet. Dies alles sollte auf automatisierte Weise und ohne manuelles Eingreifen geschehen. Dies kann durch eine Vielzahl von Technologien und Mechanismen geschehen, z. B.: signaturbasierte Modelle, verhaltensbasierte Modelle, ML-basierte Modelle, Transaktions-Rollbacks, isolationsbasierte Mechanismen usw. Diese Definition ist technologieunabhängig, da sie sich auf die Ergebnisse der verschiedenen Arbeitsabläufe und Szenarien der Systemadministratoren konzentriert und nicht auf die Technologie, die zur Vorbeugung, Erkennung oder Reaktion darauf eingesetzt wird.

Erkennung (Passive Reaktion)

Passive Reaktion, wie sie in diesem Test definiert wird, ist eine Reihe von Reaktionsmechanismen, die das Produkt mit kohärenten Erkennungs-, Korrelations-, Berichts- und Aktionsfähigkeiten bietet. Sobald sich ein Angreifer bereits in der Unternehmensumgebung befindet, kommen herkömmliche Reaktionsmechanismen zum Einsatz, z. B. IOC- und IOA-Korrelation, externe Bedrohungsinformationen und Jagd. AV-Comparatives definiert diese Reaktionsmechanismen als Passive Response. Die Voraussetzung für eine passive Reaktion ist die Erkennung einer potenziellen Bedrohung durch EPR-Produkte.

Von EPR-Produkten wird in der Regel erwartet, dass sie anfängliche und laufende Angriffe verhindern, ohne eine Triage vornehmen zu müssen, und gleichzeitig aktive Reaktions- und Berichtsfunktionen bieten. Wird der Angriff verpasst oder nicht verhindert, sollten EPR-Produkte in der Lage sein, Angriffe zu bewerten und darauf zu reagieren, wodurch die Ressourcen (Personal/Automatisierung) weniger belastet werden und langfristig eine bessere Rendite erzielt wird.

Die Bandbreite der verfügbaren Reaktionsmöglichkeiten eines EPR-Produkts ist äußerst wichtig für Unternehmen, die Bedrohungen/Kompromittierungen auf mehreren Rechnern an mehreren Standorten überprüfen müssen. Ein EPR-Produkt sollte in der Lage sein, anhand der dem Systemadministrator zur Verfügung gestellten Informationsdaten nach bestimmten Bedrohungen zu suchen. Sobald die Bedrohungen identifiziert sind, sollte der Systemadministrator in der Lage sein, mit dem EPR-Produkt Reaktionen auf der Grundlage der Art der Infektion einzuleiten. AV-Comparatives erwartet, dass EPR-Produkte nicht-automatische oder halbautomatische passive Reaktionsmechanismen haben.

Korrelation von Prozess, Endpunkt und Netzwerk

Das EPR-Produkt sollte in der Lage sein, Bedrohungen auf eine oder mehrere der folgenden Arten zu erkennen und darauf zu reagieren:

• Die Antwort basiert auf der erfolgreichen Identifizierung des Angriffs über die Benutzeroberfläche (UI) des Produkts, die die Angriffsquelle (http[s]/IP-basierter Link) auflistet, die die kompromittierte Website/IP hostet.)
• Exploit-Identifizierung (basierend auf CVE oder generischer Erkennung der Bedrohung)
• Heruntergeladene Malware-Datei
• Spawnen von Malware-Prozessen
• Befehls- und Kontrolltätigkeit als Teil der einheitlichen Angriffskette

Überblick über die EPR-Validierung

AV-Comparatives hat die folgende Topologie und Metrik entwickelt, um die Fähigkeiten von Endpoint Prevention and Response (EPR)-Produkten genau zu bewerten.

Die EPR-Produkte aller getesteten Anbieter wurden im Standalone-Modus implementiert und bewertet, wobei jeder Anbieter aktiv an der anfänglichen Einrichtung, Konfiguration und den Baselining-Aspekten beteiligt war. AV-Comparatives bewertete eine Liste von 50 Szenarien, wie sie häufig von Analysten und Unternehmen gefordert werden, und hob mehrere unternehmensbezogene Anwendungsfälle hervor. Jeder Anbieter durfte sein eigenes Produkt in dem Maße konfigurieren, wie es Unternehmen beim Einsatz in ihrer Infrastruktur tun können. Die Details der Konfigurationen sind am Anfang dieses Berichts enthalten.

Da diese Methodik auf die Präventions-, Erkennungs- und Reaktionsfähigkeiten zugeschnitten ist, haben alle Anbieter ihre Präventions- und Schutzfähigkeiten (Fähigkeit zum Blockieren) sowie die Erkennungs- und Reaktionsfähigkeiten aktiviert, so dass sie die realen Fähigkeiten dieser Produkte auf Unternehmensebene nachahmen.

Die Tests unterstützten EPR-Produktaktualisierungen und Konfigurationsänderungen, die über die Cloud-Management-Konsole oder den lokalen Netzwerkserver vorgenommen wurden. Wir haben so weit wie möglich alle Testszenarien von Anfang bis Ende durchlaufen und ausgeführt.

Ziel des Tests

Ziel des Tests war es, den präventionsorientierten Workflow mit spezifischen Anwendungsfällen zu bewerten, die auf den EPR-Präventionsworkflow-1 (auf den in der Methodik verwiesen wird) mit Bedrohungen abzielen, die typischerweise auf Unternehmensbenutzer in einer normalen Betriebsumgebung abzielen. Diese Iteration half uns, die standardmäßige Präventionsfähigkeit des Produkts zusammen mit dem Erkennungsmechanismus zu bewerten. Wenn eine Bedrohung nicht abgewehrt werden konnte, haben wir geprüft, ob das EPR-Produkt in der Lage war, rechtzeitig geeignete Erkennungs- und Reaktionsmaßnahmen zu ergreifen.

• Die folgende Bewertung wurde durchgeführt, um zu überprüfen, ob das EPR-Endpunktsicherheitsprodukt in der Lage ist, alle Angriffe auf den EPR Prevention Workflow-1 und Detection Workflow zu verhindern und zu erkennen.
• Fand die Prävention während Phase 1 (Endpoint Compromise und Foothold) des Präventionsworkflows statt?
• Lieferte uns das EPR-Produkt eine angemessene Bedrohungsklassifizierung, eine Bedrohungseinstufung und einen genauen Bedrohungszeitplan der Angriffe mit relevanten Endpunkt- und Benutzerdaten?
• Hat das EPR-Produkt beim Test der operativen Genauigkeit, der in Verbindung mit den Angriffsszenarien durchgeführt wurde, irgendwelche negativen Probleme gezeigt?

Gezielte Use-Cases

Bei der emulierten Ereignisfolge handelte es sich um ein unternehmensbasiertes Szenario, bei dem der Benutzer auf Systemebene eine Datei in einem E-Mail-Anhang erhielt und sie ausführte. In einigen Fällen waren die E-Mails harmlos, in anderen wiederum nicht. Wenn die bösartigen E-Mail-Anhänge erfolgreich ausgeführt wurden, konnte ein Angreifer in der Umgebung Fuß fassen und weitere Schritte unternehmen, um seine Ziele zu erreichen.

Während der Tests haben wir uns in das EPR-Produktmanagement und die einzelnen Konsolen der Testsysteme eingeloggt, um zu beobachten, zu analysieren und zu dokumentieren, welche Art von Aktivität vom Produkt aufgezeichnet wird. Gibt es zum Beispiel bei einem Angriff irgendwelche Warnungen oder Ereignisse, und handelt es sich dabei um echte Positiv- oder Negativmeldungen?

Bei echten positiven Alarmen haben wir außerdem untersucht, ob die anschließende Reaktion in Form von Ereigniskorrelation, Triagen, Bedrohungsklassifizierung und Bedrohungszeitplan dem Systemadministrator zeitnah und klar zur Verfügung gestellt wurde. Wir testeten die von den getesteten Produkten zur Verfügung gestellten Antworten.

Der Test wurde im Sommer 2022 durchgeführt und basierte auf einer angreifergesteuerten Denkweise, während der Angriff durch die Angriffsknoten fortschritt, um schließlich sein Ziel zu erreichen. Die Benutzeraktivitäten wurden während des gesamten Tests so simuliert, dass sie einer realen Umgebung so nahe wie möglich kamen. Sobald sich der Angreifer Zugang zur Umgebung verschafft hatte, versuchte er, sich so unauffällig wie möglich zu verhalten, damit die Abwehrmechanismen nicht ausgelöst werden.

Alle Angriffe wurden mit Hilfe von Open-Source- und commercial tools/Frameworks und wurden mit internem Fachwissen entwickelt. Der Grund, warum wir kommerzielle C2-Frameworks einbezogen haben, ist, dass diese bei real-life APTs häufig von Angreifern missbraucht werden; Sie nicht zu verwenden, würde einen "blinden Fleck" verursachen und zu einem falschen Gefühl der Sicherheit führen. Aufgrund von Lizenzvereinbarungen haben wir Maßnahmen ergriffen, um zu verhindern, dass von kommerziellen C2-Frameworks erstellte Beispiele an die EPR-Anbieter weitergegeben werden. Diese Beschränkungen sollen verhindern, dass sich die Anbieter auf die Tools und nicht auf die Techniken konzentrieren.

Zur Veranschaulichung des Testverfahrens geben wir im Folgenden ein Beispiel dafür, wie ein typischer gezielter Angriff ablaufen könnte. Der Angreifer sendet eine Skript-Nutzlast (die einige Verteidigungsumgehungstechniken wie DLL-Sideloading enthält) über eine Phishing-Mail an Netzwerkbenutzer A auf Arbeitsstation A. Nachdem er mit dem Benutzerkonto A im Zielnetz Fuß gefasst hat, wird eine interne Erkundung durchgeführt. Dies beinhaltet die Auflistung von Benutzerrechten, Benutzergruppen, installierten Sicherheitsprodukten usw. Dabei zeigt sich, dass das kompromittierte Benutzerkonto A Zugriff auf die C$-Freigabe auf Arbeitsstation B hat, was bedeutet, dass das Konto über lokale Administratorrechte auf dieser Arbeitsstation verfügt. Mit dem aus der internen Erkennung gewonnenen Wissen bewegt sich der Angreifer seitlich von Arbeitsstation A zu Arbeitsstation B. Anschließend setzt er die interne Erkennung auf Arbeitsstation B fort. Dadurch findet er die offene Benutzersitzung eines Netzwerkadministrators auf Arbeitsstation B. Um dies auszunutzen, führt der Angreifer den LSASS-Prozess aus und kann so die Anmeldeinformationen des Administrators stehlen. Auf diese Weise findet er heraus, dass das kompromittierte Administratorkonto Zugriff auf Server 1 hat. Der Angreifer verwendet dann dieses kompromittierte Administratorkonto, um sich seitlich von Arbeitsstation B zu Server 1 zu bewegen und diesen Server dann zu kompromittieren. Hier führt er weitere interne Erkundungen durch und nutzt auch einige Techniken zur Umgehung der Verteidigung, um das installierte Sicherheitsprodukt zu umgehen (z. B. durch Patchen von AMSI und ETW). Am Ende dieser Prozedur sind sie in der Lage, Kreditkartendaten auf Server 1 zu identifizieren, die sie über einen offenen C2-Kanal extrahieren.

Über diesen Test

Der Endpoint Prevention and Response (EPR)-Test 2022 von AV-Comparatives für Unternehmensprodukte wird in diesem Jahr zum dritten Mal durchgeführt. Die Nennung des Produkts im vergleichenden EPR-Hauptbericht liegt im Ermessen des Herstellers. Wir haben die Produkte mit den von den Anbietern vorgeschlagenen Konfigurationen getestet und diese vor dem Test gemeinsam mit den Anbietern überprüft.

Der Test ist sehr anspruchsvoll, spiegelt aber realistische Szenarien wider. Das Feedback vieler technischer Abteilungen von Anbietern, Analysten und Unternehmen war überwältigend positiv. Wir haben jedoch auch einige Vorschläge zur Perfektionierung der Testmethodik erhalten, von denen wir einige umgesetzt haben, wenn wir der Meinung waren, dass sie im echten Interesse der Nutzer waren und dazu beitrugen, eine möglichst realistische Prüfung der EPR-Produkte zu fördern.

Aufgrund der Komplexität des Tests ist eine Automatisierung nicht möglich, so dass er vollständig manuell durchgeführt werden muss, was seine Durchführung kostenintensiv macht. Diese Methodik ist auf die Präventions- und Reaktionsfähigkeiten zugeschnitten. Daher wurde den Anbietern geraten, die Präventions- und Schutzfunktionen (Fähigkeit zum Blockieren) zu aktivieren und die Erkennungsfunktionen so zu konfigurieren, dass sie effektiv arbeiten, aber keine hohen Kosten aufgrund mangelnder operativer Genauigkeit oder Verzögerungen im Arbeitsablauf verursachen.

Die Testphasen bestehen aus den Angriffstaktiken, denen die meisten Unternehmen heute ausgesetzt sind, und denen das Sicherheitsteam begegnen muss. Einige Anbieter behaupten, dass bestimmte Taktiken (z. B. Discovery) schwer zu erkennen sind, aber ein gutes EPR-Produkt muss mit ihnen umgehen können, da sie häufig bei gezielten Angriffen eingesetzt werden. Die verschiedenen Phasen des EPR-Tests decken die gesamte Angriffskette ab, einschließlich aller in der Praxis üblichen Angriffstaktiken und -techniken, von der ersten Etablierung und internen Ausbreitung bis zur Exfiltration von Zieldaten und dem tatsächlichen Schaden am Zielsystem oder -netz.

Da das Ziel des Tests darin besteht, die Präventions- und Reaktionsfähigkeiten zu messen, haben wir den Anbietern weder mitgeteilt, wann genau der Test durchgeführt wird, noch haben wir im Vorfeld Einzelheiten zu den Angriffen bekannt gegeben. Auf diese Weise wird vermieden, dass die Anbieter die Möglichkeit haben, die Angriffe in Echtzeit zu überwachen und mit ihren Produkten zu interagieren, wenn sie es für sinnvoll halten. Im wirklichen Leben teilen die Angreifer ihren Opfern nicht mit, wann oder wie sie angreifen werden, so dass die Produkte darauf abzielen müssen, jederzeit einen vollständigen Schutz zu bieten, anstatt für die Bewertung optimiert zu werden.

Es kann kontraproduktiv sein, dem Kunden so viele Telemetrie- und Sensordaten wie möglich zur Verfügung zu stellen und eine übermäßige Anzahl von Warnmeldungen zu produzieren. Nicht alle Unternehmen haben die Ressourcen, um jeden einzelnen Alarm zu untersuchen. Anstatt die Sicherheitsexperten mit einer Flut von Rohdaten zu überfordern, die das IT-Personal manuell filtern, analysieren und korrelieren muss, sollten die Produkte den Untersuchungsprozess auf eine vernünftige und effiziente Weise unterstützen. Die Kosten, die durch unvollkommene operative Genauigkeit entstehen, sowie die Kosten, die durch Verzögerungen im Arbeitsablauf entstehen, werden berücksichtigt. Außerdem ist die telemetriebasierte Bedrohungsjagd nicht Gegenstand des Tests.

Um sich einen Überblick über die Schutz- und Reaktionsfähigkeiten der getesteten EPR-Produkte zu verschaffen, sollten sich die Leser die Ergebnisse der anderen Tests in AV-Comparatives' Enterprise Main-Test Series berücksichtigen.