EDR versus Traditionele Antivirus: Het Verschil Duidelijk Uitgelegd
Traditionele antivirus richt zich primair op het voorkomen en blokkeren van malware op het apparaat. EDR (Endpoint Detection & Response) gaat verder door endpointactiviteiten continu vast te leggen en te analyseren, verdachte gedragspatronen te detecteren en beheerders mogelijkheden te bieden om incidenten te onderzoeken en erop te reageren. Moderne ransomware maakt vaak gebruik van legitieme systeembestanden en beheerfuncties (zoals PowerShell) om onopgemerkt te blijven voor eenvoudige bestandsscanners.
Dit artikel hoort bij het thema Cybersecurity in het MKB, onderdeel van ICT-beveiliging voor het MKB.
EDR analyseert procesactiviteiten in realtime, kan verdachte handelingen vroegtijdig signaleren of onderbreken, en stelt beheerders in staat een besmet apparaat direct digitaal te isoleren van het netwerk. Verzekeraars en auditoren vragen hier steeds vaker naar bij het beoordelen van het risicoprofiel van een organisatie.
Waarom traditionele bestandsscanners niet meer volstaan
Traditionele antivirussoftware werkt volgens een database van bekende dreigingen. Zodra een bestand wordt geopend of gedownload, vergelijkt de scanner dit met bekende virusdefinities:
- Is het bestand bekend als kwaadaardig? Dan wordt het tegengehouden.
- Is de aanvalstechniek nieuw, op maat geschreven of maakt deze misbruik van bestaande Windows-onderdelen zonder eigen malwarebestand (Living off the Land)? Dan herkent een traditionele scanner dit patroon vaak pas laat.
EDR kijkt niet uitsluitend naar het bestand zelf, maar naar de context: wat probeert een programma feitelijk te doen op het systeem?
De Norm: Wat schrijven beveiligingskaders voor?
- CIS Controls v8 (Safeguard 10.1): Deploy and Maintain Anti-Malware Software. Zorg voor centraal beheerde antimalwarebescherming op alle apparaten.
- CIS Controls v8 (Safeguard 10.6 & 10.7): Centrally Manage Anti-Malware Software en Use Behavior-Based Anti-Malware Software. Beheer beveiligingsinstellingen centraal en gebruik technologie die bescherming biedt op basis van gedragsanalyse, naast traditionele handtekeningen.
- Cyberverzekeringen: Afhankelijk van de omvang van de organisatie, het type bedrijfsactiviteiten en de gekozen dekking, kunnen verzekeraars vragen naar centraal beheerde endpointbeveiliging of EDR op werkstations en servers.
Praktische ICTklaar-richtlijn: De functionele verschillen
| Eigenschap | Traditionele Antivirus | EDR (Endpoint Detection & Response) |
|---|---|---|
| Detectiemethode | Primair op basis van bekende virusdefinities en bestandscontroles | Gedragsanalyse, afwijkende procesactiviteit en heuristiek |
| Nieuwe dreigingen | Afhankelijk van updates met nieuwe definities | Signaleert verdachte handelingen ook bij onbekende code |
| Responsopties | Verwijdert of isoleert het specifieke bestand | Kan verdachte processen stoppen en het apparaat netwerk-isoleren |
| Forensisch inzicht | Beperkt tot melding van geblokkeerd bestand | Registreert de keten van gebeurtenissen (welk proces startte wat) |
Het belang van beheer en opvolging
Software alleen lost een incident niet op. Als een EDR-systeem een waarschuwing genereert buiten kantooruren, moet duidelijk zijn wie bevoegd is om het signaal te beoordelen en in te grijpen. Voor veel MKB-bedrijven levert de IT-partner dit als een beheerde dienst (Managed EDR of MDR).
Praktijkscenario: Het script achter het tekstbestand
Aantoonbaar Bewijs: Wat vraag je aan je IT-dienstverlener?
- Overzicht van actieve agents: Een export uit de beheerconsole (zoals Microsoft Defender for Endpoint, SentinelOne of Sophos) die aantoont dat de beveiligingssoftware actief en up-to-date is op de aanwezige werkplekken en servers.
- Beheerd beleid: Schriftelijke bevestiging van het centrale beleid: staan realtime bescherming en geautomatiseerde responsfuncties ingeschakeld?
- Meldingsafspraken: Duidelijkheid over wie notificaties ontvangt en binnen welke responstijd verdachte signalen worden onderzocht.
Veelgestelde vragen
Is EDR hetzelfde als Microsoft Defender?
De gratis basisversie van Microsoft Defender die standaard in Windows zit, biedt traditionele antivirusbescherming. Microsoft Defender for Endpoint (beschikbaar in zakelijke licenties zoals Microsoft 365 Business Premium) voegt daar volwaardige EDR-functies, gedragsanalyse en centraal beheer aan toe.
Moeten alle apparaten in het netwerk EDR hebben?
Het uitgangspunt van goede werkplekbeveiliging is een zo compleet mogelijke dekking. Eén onbeheerde of onbeveiligde pc op hetzelfde bedrijfsnetwerk kan door aanvallers worden gebruikt als tussenstation om andere systemen te benaderen.