Einordnung
Ein EDR-Agent allein ist keine belastbare Detektionsstrategie. Entscheidend sind Abdeckung, Policy-Qualität, Alert-Triage, Rollenmodell und die Frage, ob relevante Techniken im eigenen Umfeld erkannt werden.
Besonders wichtig sind Tests gegen interne Angriffswege: Credential Access, Lateral Movement, verdächtige PowerShell-Nutzung und ungewöhnliche Admin-Aktivität.
Praktischer Fokus
- Abdeckung auf Servern und Clients prüfen
- Ausnahmen regelmäßig validieren
- Alerts mit Incident-Prozessen verbinden
- Detection Use Cases gegen AD-Risiken priorisieren
- Ergebnisse aus Pentests in Tuning übersetzen