Ein Sicherheitsanalyst möchte das Verhalten von Benutzern und Geräten besser verstehen, um Einblicke in potenzielle böswillige Aktivitäten zu erhalten. Der Analyst benötigt eine Kontrolle, um zu erkennen, wann Aktionen von einer gemeinsamen Basislinie abweichen. Was sollte der Analyst verwenden?

Endpoint Detection and Response (EDR) ist die korrekte Antwort, da es darauf ausgelegt ist, Endpunktaktivitäten kontinuierlich zu überwachen, Daten zu sammeln und Verhaltensweisen zu analysieren, um Abweichungen von einer definierten Basislinie zu erkennen. Dies ermöglicht es einem Analysten, potenzielle böswillige Aktivitäten frühzeitig zu identifizieren. Ein Intrusion Prevention System (IPS) konzentriert sich hauptsächlich auf die Blockierung bekannter Bedrohungen und Netzwerkverkehr, nicht auf die Verhaltensanalyse von Endpunkten. Eine Sandbox isoliert und analysiert verdächtige Dateien in einer sicheren Umgebung, bietet aber keine kontinuierliche Überwachung des Endpunktverhaltens. Antivirus-Software schützt vor bekannter Malware, ist aber weniger effektiv bei der Erkennung unbekannter oder verhaltensbasierter Bedrohungen, die von einer Basislinie abweichen.