Boutin beschreibt MDR als Möglichkeit, proaktive Bedrohungsüberwachung und Threat Hunting einzukaufen, statt sie selbst aufzubauen. Der Ansatz sei nicht neu: Kleinere Organisationen hätten IT-Innovationen seit Jahrzehnten über Rechenzentrumsdienstleister, Managed-Services-Anbieter und Cloud-Computing genutzt. Früher seien MDR-Dienste teuer und komplex gewesen – wenn auch weniger als ein eigenes SOC –, inzwischen kämen sie auch für kleinere Unternehmen infrage.
Den für Kunden unsichtbaren Teil der Arbeit beschreibt Boutin als das eigentliche Fundament: Sein Team stellt sicher, dass neue Samples und Bedrohungen untersucht und in Kundenumgebungen erkannt werden. Die Forscher ordnen Threat-Intelligence-Daten zu E-Crime, Ransomware, APT-Gruppen und staatlich gesteuerten Akteuren und verknüpfen neue Vorfälle mit früheren Fällen. So lasse sich die Schwere eines Einbruchs ebenso einschätzen wie der mögliche Zweck des Angriffs – bis hin zur Frage, welche Gruppe ein Unternehmen ins Visier genommen hat.
Auf die Frage, ob kleine und mittlere Unternehmen mit gezielten Angriffen oder staatlichen Akteuren rechnen müssen, differenziert Boutin: Das Bedrohungsprofil unterscheide sich von Organisation zu Organisation, staatliche Akteure verfolgten klar vordefinierte Ziele und wählten passende Opfer. E-Crime dagegen sei breit angelegt und richte sich gegen die Masse – zu sehen seien viele Infostealer und viel Ransomware. Angesichts der Zahl der Akteure und Malware-Familien sei der Schutz der Kunden “wirklich eine tägliche Aufgabe”.
ESET-Sicherheitsanalyst James Rodewald arbeitet dabei mit dem Prinzip der Triangulation: eine Beobachtung im Feld, die Rückmeldung eines betroffenen Kunden und der Abgleich mit dem Threat-Intelligence-Team. Als Beispiel dient ein Angriff mit Bezug zu FamousSparrow. Für Boutin war dieser Fall aufschlussreich, weil das Team den Akteur längere Zeit nicht gesehen hatte. Sein Team wertet primär Telemetriedaten aus allen Endpunkten aus; stoße das MDR-Team auf etwas bereits Bekanntes, verbessere das das Verständnis der Vorgehensweise – und fließe anschließend an andere Threat-Intelligence-Kunden zurück.
Die direkte Verbindung zu den Sicherheitsverantwortlichen der Kunden verändere die Arbeit grundlegend, so Boutin: “Es verändert alles.” Umfang eines Angriffs, Ablauf und Motiv ließen sich sehr schnell klären, die verfügbare Informationsmenge sei um ein Vielfaches größer als bei gewöhnlichen Endpunkten.
Zum Thema Lieferkette verweist das Interview auf eine Serie von Angriffen in Großbritannien, bei denen große Unternehmen wie Jaguar Land Rover und Marks & Spencer über ausgelagerte Helpdesk-Dienste kompromittiert wurden. Angreifer zielten häufig auf Drittanbieter mit weniger strengen Sicherheitsmaßnahmen, um über sie den Erstzugang zu einem Netzwerk zu erlangen. Alle Drittparteien abzusichern sei schwierig; der Vorteil von MDR liege in der umfassenden Sicht auf sämtliche Erkennungen und Warnmeldungen, wodurch auch kleinere Anomalien und Fehler der Angreifer auffielen.
Den Unterschied zwischen Unternehmen mit und ohne MDR sieht Boutin vor allem in der durchgehenden Sichtbarkeit und in der Reaktionsgeschwindigkeit: Es bestehe bereits ein gesicherter Kanal zwischen Forschern und Unternehmen. MDR wirke wie eine Versicherung und helfe, Bedrohungen wie Ransomware früh zu erkennen. Angreifer verschafften sich Zugang typischerweise über Initial Access Broker, wobei sich mehrere Warnzeichen vorab erkennen ließen. Die Zahlung eines Lösegelds sei nie ratsam – doch auch die Wiederherstellung bleibe störend für den Betrieb.