Attack Surface Monitoring vs. EDR und XDR: Ergänzung statt Konkurrenz

Externes Attack Surface Monitoring und EDR oder XDR beantworten unterschiedliche Fragen. EDR (Endpoint Detection and Response) und XDR (Extended Detection and Response) überwachen, was auf Ihren Laptops, Servern, Cloud-Konten und im Netzwerk geschieht: Prozesse, Anmeldungen, Dateiänderungen, verdächtiges Verhalten. Externes Attack Surface Monitoring zeigt, wie Ihr Unternehmen aus dem Internet aussieht: Domains, DNS, Zertifikate, E-Mail-Einstellungen, Websites und offene Dienste.

Die kurze Antwort lautet also: Sie konkurrieren nicht. EDR und XDR melden, wenn im Inneren etwas passiert. Externes Monitoring zeigt, welche Türen von außen sichtbar sind, oft bevor jemand sie berührt, und deckt Dinge ab, die nie auf einem von Ihnen verwalteten Gerät laufen.

Wenn Sie bereits für eine EDR- oder XDR-Plattform bezahlen, erklärt dieser Artikel, was diese nicht sieht und wie Sie die Lücke schließen, ohne dieselbe Fähigkeit ein zweites Mal einzukaufen.

Was EDR und XDR gut können

EDR installiert auf jedem Endpunkt einen Agenten. Er zeichnet Prozessaktivitäten auf, blockiert bekanntes Schadverhalten und ermöglicht einem Analysten, einen Rechner zu untersuchen und zu isolieren. XDR erweitert diesen Ansatz, indem es Signale aus weiteren Quellen korreliert, etwa aus E-Mail-Gateways, Identity Providern, Cloud-Workloads und Netzwerksensoren.

Beide sind stark darin:

• Malware und verdächtiges Verhalten auf verwalteten Geräten zu erkennen.
• Ungewöhnliche Anmeldungen und laterale Bewegungen im Netzwerk aufzuspüren.
• Dem Incident-Response-Team eine Zeitleiste der Vorgänge auf einem Rechner zu liefern.
• Einen Vorfall einzudämmen, indem ein Host isoliert oder ein Konto gesperrt wird.

Ihr Blickfeld beginnt dort, wo ihre Agenten und Integrationen installiert sind.

Was sie nicht sehen können

Ein großer Teil der Angriffsfläche eines Unternehmens liegt auf Systemen ohne Agenten oder auf Systemen, die Sie gar nicht selbst betreiben:

• DNS und Domains. Ein geänderter Nameserver, eine bald ablaufende Domain oder ein Registrar-Wechsel passiert bei Ihrem Registrar, nicht auf einem Endpunkt (siehe Nameserver- und Registrar-Änderungen).
• E-Mail-Authentifizierung. Ohne DMARC kann jemand von eigenen Servern E-Mails versenden, die wie Ihre aussehen. Ihr EDR bekommt diese E-Mails nie zu sehen.
• Ähnliche Domains und gefälschte Login-Seiten auf fremder Infrastruktur.
• Vergessene Hosts: eine alte Staging-Seite bei einer Agentur, eine Marketingseite in einem gehosteten Baukasten, ein Testserver, auf dem nie jemand einen Agenten installiert hat. Siehe vergessene Staging- und Testserver.
• TLS-Zertifikate, die für Ihre Namen ausgestellt wurden, und deren Ablauf.
• Aus dem Internet erreichbare Dienste auf Hosts außerhalb Ihres Inventars.

Genau diese Dinge untersucht ein Angreifer zuerst. MITRE ATT&CK führt Reconnaissance als eigene Taktik, mit Techniken wie der Suche in offenen technischen Datenbanken und auf Websites des Opfers. Das geschieht, bevor überhaupt Malware läuft.

Von innen nach außen und von außen nach innen

Am einfachsten lässt sich der Unterschied über die Blickrichtung beschreiben.

• Von innen nach außen (EDR, XDR): Sie beginnen bei den Geräten, die Sie kennen, und beobachten sie genau.
• Von außen nach innen (externes Attack Surface Monitoring): Sie beginnen bei dem, was das Internet über Ihr Unternehmen zeigt, und arbeiten sich zu dem zurück, was Ihnen gehört.

Mit dem Blick von außen finden Sie auch die Geräte, von denen Sie nichts wussten. Taucht unter Ihrer Domain ein Host auf, den Ihre EDR-Konsole nicht kennt, haben Sie eine Lücke in der Abdeckung gefunden, nicht nur eine Lücke in der Konfiguration.

Im NIST Cybersecurity Framework 2.0 lauten die Kernfunktionen Govern, Identify, Protect, Detect, Respond und Recover. EDR und XDR leisten den Großteil ihrer Arbeit in Detect und Respond. Externes Monitoring liefert Input für Identify (Kenntnis der eigenen Assets und Angriffsfläche) und Protect (schwache Einstellungen beheben, bevor sie ausgenutzt werden) und ergänzt ein frühes Detect-Signal für Änderungen, die außerhalb Ihres Netzwerks vorgenommen werden.

So prüfen Sie, ob Sie eine Lücke haben

Eine kurze Übung für Ihr IT-Team:

1. Exportieren Sie die Liste der Hosts, die Ihr EDR oder XDR abdeckt.
2. Erstellen Sie eine Liste der Hostnamen unter Ihren Domains, zum Beispiel über crt.sh mit %.yourcompany.com, ergänzt um Ihre DNS-Zone.
3. Lösen Sie jeden Namen auf und vergleichen Sie:

dig +short app.yourcompany.com
dig +short CNAME promo.yourcompany.com

1. Markieren Sie jeden Namen, der auf eine IP oder einen Dienst zeigt, den Ihre Agenten nicht abdecken.
2. Prüfen Sie DMARC und Nameserver, worüber kein Endpoint-Tool berichtet:

dig +short TXT _dmarc.yourcompany.com
dig +short NS yourcompany.com

Alles aus Schritt 4 und jedes schwache Ergebnis aus Schritt 5 liegt außerhalb Ihrer aktuellen Erkennung.

Wie beides zusammenarbeitet

• Leiten Sie externe Funde in dieselbe Ticket-Queue, die Ihr Sicherheitsteam bereits nutzt, damit kein separates Silo entsteht.
• Findet das externe Monitoring einen neuen Host, entscheiden Sie: Agent installieren, hinter eine Zugriffskontrolle verschieben oder entfernen.
• Nutzen Sie externe Warnungen (neues Zertifikat, geänderter DNS-Eintrag) als Kontext bei XDR-Untersuchungen.
• Priorisieren Sie erreichbare Dienste mit bekannten, aktiv ausgenutzten Schwachstellen; die CISA führt genau dafür einen Katalog bekannter ausgenutzter Schwachstellen.

Eine kurze Checkliste

• Kennen wir jeden Hostnamen unter unseren Domains, und hat jeder einen Verantwortlichen?
• Hat jeder Server, den wir betreiben, einen Agenten oder einen dokumentierten Grund, warum nicht?
• Wer wird alarmiert, wenn sich Nameserver, Registrar oder MX-Einträge ändern?
• Ist DMARC auf Durchsetzung gestellt?
• Sind Fernzugriffs- und Datenbankports aus dem Internet geschlossen?

Wo Datahorses ins Bild passt

Datahorses ist der Blick von außen nach innen. Wir beobachten Ihr Unternehmen jeden Tag von außen, sehen, was ein Angreifer sehen kann, und senden jeden Fund mit genauen Schritten zur Behebung, ohne in Ihre Systeme einzudringen oder Zugänge zu benötigen. Datahorses steht neben Ihrem EDR oder XDR, statt es zu ersetzen; siehe was wir überwachen und warum wir keine Zugänge brauchen.