Kaspersky Endpoint Detection Responce (EDR) lohnenswert

[Michi777]

Liebe Community!
aufgrund der stets steigenden Cyberangriffe werden wir nun Kaspersky Endpoint Security Cloud für alle Clients kaufen.
...diese Jahr war unser Mailserver von der Hafnium Attacke betroffen, dabei konnte ich viel lernen und verstehen und habe in dem Fall auch mit Sicherheitsexperten zusammengearbeitet und es nachhaltig bereinigen können.

Das kommt neben den aktuell eingesetzten Sicherheitssystemen wie:
*Hardwarefirewall
*Windows Firewall
*Kaspersky (bereits auf wichtigen Clients)
*stets gepatchten Systemen
*Fortclient (auf Servern)
*sicheres Passwortmanagement

Nun stellen sich folgende Fragen:
1)Lohnt Kaspersky Security Cloud Plus mit seiner Zusatzfunktion EDR lohnt oder der Nutzen zu vernachlässigen ist.
2)Hat EDR Nachteile auf die Leistung (zB CAD Leistungsclients) oder False Positives?

Vielen Dank im Voraus!

Greetz

 

[Tamron]

Warum nicht einfach den Forticlient auch auf den Clients ausrollen?
Kaspersky hat sich mehrfach schon als nicht brauchbarer Hersteller kristallisiert, warum man gerade beim Thema Security dann noch weiter einsteigen möchte - schleierhaft.
Nimmt Windows Defender ATP oder den FortiClient lizensiert.

Bei Hafnium hilft nur neuer Exchange + eigentlich noch ein neues AD, da ein Golden Ticket nicht auszuschließen ist.

 

[Michi777]

@Tamron
Ja also momentan habe ich nur den kostenfreien Virenschutz (bis v6 gratis möglich) auf den Servern.
Kaspersky teilweise im Einsatz (5er Paket, das aber eh bald abläuft).

Jetzt ist die Frage was die bessere Gesamtlösung wäre, Beides wäre möglich ja.
Was sind denn die Vor\Nachteile von Forticlient (teurer?) & Kaspersky?
Wir haben zumindest eine Fortigate Firewall im Einsatz und die externen Mitarbeiter nutzen täglich VPN.

 

[conf_t]

Ich glaube dein Anliegen an Beratung geht schon schwer ins gewerbliche. Das sprengt den Rahmen des Forums. Da eine Kette von Einzellösungen bei IT-Sicherheit nichts bringt, sondern sie ineinandergreifen müssen. Dazu solltest du dir von von entsprechend fähigen Leuten ein Security-Konzept erarbeiten lassen (gegen Geld) und am Ende von einer Drittfirma Penetrationstest ausführen lassen und in Folge alles wieder von vorne. Eine einzelne Software ist kein Konzept.

 

[Michi777]

Ich glaube dein Anliegen an Beratung geht schon schwer ins gewerbliche. Das sprengt den Rahmen des Forums. Da eine Kette von Einzellösungen bei IT-Sicherheit nichts bringt, sondern sie ineinandergreifen müssen. Dazu solltest du dir von von entsprechend fähigen Leuten ein Security-Konzept erarbeiten lassen (gegen Geld) und am Ende von einer Drittfirma Penetrationstest ausführen lassen und in Folge alles wieder von vorne. Eine einzelne Software ist kein Konzept.

Nein ist OK, da habe ich Eigenexpertise, Praxiserfahrungen und vergangene Zusammenarbeiten dazu mit Sicherheitsexperten.

Die eigentlichen Fragen sind eh eingegrenzt zu beantworten:
1)Lohnt Kaspersky Security Cloud Plus mit seiner Zusatzfunktion EDR lohnt oder der Nutzen zu vernachlässigen ist.
2)Hat EDR Nachteile auf die Leistung (zB CAD Leistungsclients) oder False Positives?
3)Welche Vor\Nachteile bestehen zur Alternative Forticlient EMS 7?

Danke

 

[nemix]

Kann die Aussage von @conf_t nur unterschreiben. Wild irgendwelche Produkte kaufen und deployen werden euch evtl. weniger Security bringen als vorher.
Lasst euch ein ganzheitliches Konzept erarbeiten wie Ihr das ganze Thema implentieren und betreiben wollt. Die beste Firewall nützt euch nichts wenn sich niemand um Updates kümmert und das ist nur ein kleines Detail davon.

Wenn du da Erfahrung hast stellst du auch nicht solche Fragen sondern lässt dir von Partnern der Software einen PoC durchführen um das ganze anhand von Use-Cases und definierter Bewertungskriterien zu evaluieren.

 

[Michi777]

@nemix
Ich versuche nur zwischen 2 Virenschutzsoftwaren (das Anbieterfeld ist ziemlich gleichwertig) zu entscheiden.
...sowie um Erfahrung\Einschätzung für das doch sehr neue Sicherheitsfeature EDR zu erfragen.
Dazu brauche ich kein Systemhaus extra zu kontaktieren für >1000€.
Sicherheitskonzept, gut gewartete Firewall, alles Up2Date etc. dafür ist ohnehin gesorgt.

 

[Atkatla]

Erstmal ist EDR ein Prinzip, welches von mehreren Herstellern aufgegriffen wurde. Von Fortinet gibt es z.B. auch ein EDR-Produkt, neben dem FortiClient. FortiEDR und FortClient sind nicht das Gleiche.Und wie bei jeder komplexeren IT-Lösung gibt es dort keine andere Antwort als: IT depends. Aufwand, Nutzen, Erfahrungen und Probleme hängen von eurer Umgebung ab. Z.B. allein schon die Frage nach den Performanceauswirkungen ist doch pauschal niemals zu beantworten. Und genau deswegen macht man PoCs. Mir ist schon klar, dass sich solche für kleinere Umgebungen meist vom Aufwand nicht rechnen, aber genau dafür sucht man sich ein Systemhaus, welches schon Erfahrungen mit den in Frage kommenden Produkten gemacht hat und sagen kann bei welchen Workloads bei welchen Anwendungen welche Auswirkungen und welche Aufwände zu betreiben sind. Letzteres bestimmt ja erst überhaupt die Kosten.

Hier wird keiner beide Lösungen in einer großen Umgebung betrieben und mit langen Erfahrungen und Penetrationstests belastbare Aussagen zur Effektivität machen können. Und wer diese Informationen hat, gibt sie meist nicht in Foren für umme frei.

Jedes der Produkte wird schon was können, aber Aufwände und Fehlschläge sind weit teurer als die >1000€ um die du dir gerade Gedanken machst.

 

[Michi777]

Liebe Community!
Ich habe mich für Kaspersky Enterprise Cloud Plus für die Clients entschieden.
Auf den Servern lasse ich den Fortiguard Echtzeitscan inkl. wöchentlicher Scan statt Kaspersky aktiviert
...denn er machte keinerlei Probleme im Serverbetrieb und bietet dann auch eine AI-Redundanz.

Beim Konfigurieren der Sicherheitsprofile wären folgende Fragen aufgekommen:
1)Unter Verhaltensanalyse gibt es die Funktion "Schutz vor Verschlüsselung von freig. Ordnern"
Dazu wollte ich wissen ob bei einer erkannten Auffälligkeit der gesamte Zugriff zu dieser Freigabe blockiert ist, oder nur der Angreifer (IP)?.

An sich eine anstrebenswerte Funktion die ich gerne aktivieren würde.

Danke