Was ist Bitdefender EDR?
Detect
Erkennung
Investigate
Analyse
Respond
Reaktion
1. EDR Telemetrie
Erfasste Ereignisse
- • Prozess-Erstellung & -Beendigung
- • Datei-Operationen
- • Registry-Änderungen
- • Netzwerk-Verbindungen
- • PowerShell-Ausführungen
- • DLL-Ladungen
Aufbewahrung
- • Standard: 30 Tage
- • Extended: Bis zu 90 Tage
- • Incidents: Unbegrenzt
2. Incidents untersuchen
1
Triage
Severity bewerten, False Positive ausschließen
2
Analyse
Attack Chain analysieren, Root Cause finden
3
Response
Containment, Remediation, Recovery
3. Live Search Queries
Verdächtige PowerShell
process_name:powershell.exe AND (command_line:*-enc* OR command_line:*downloadstring*)Credential Access
process_name:mimikatz* OR file_path:*\\lsass*Suspicious Network
network_connection:outbound AND (destination_port:4444 OR destination_port:1337)Registry Persistence
registry_operation:set AND (registry_path:*\\Run\\* OR registry_path:*\\Services\\*)4. Response Actions
Isolate Endpoint
Trennt vom Netzwerk, nur GZ-Kommunikation aktiv
Kill Process
Beendet verdächtigen Prozess sofort
Collect Evidence
Memory Dump, Event Logs sammeln
Remote Shell
Sichere Remote-Kommandozeile
5. Threat Hunting Hypothesen
Living off the Land
certutil, bitsadmin, mshta mit ungewöhnlichen Parametern
Scheduled Tasks
Persistence via geplante Aufgaben
Beaconing
Regelmäßige C2-Kommunikation
Data Staging
Erstellung von Archiven vor Exfiltration
Thalvos Cloud EDR Managed Service
24/7 EDR-Monitoring und Incident Response als Managed Service.
Managed EDR anfragen →