EDR en XDR: wat is het en wat is het verschil?

Wat is EDR?

EDR combineert het continu bewaken van endpoints in realtime en het verzamelen van gegevens van die apparaten, met regelgebaseerde, geautomatiseerde reactie en analyse. Een endpoint is elk apparaat waarop iemand werkt en waar een aanvaller binnen kan komen: een werkstation, een laptop, een server of een mobiele telefoon. Het NCSC schrijft dat digitale aanvallen kunnen beginnen op het werkstation van een eindgebruiker. Daarom adviseert het detectiesoftware op alle werkstations, en het noemt die software endpoint detection and response (EDR).

De Amerikaanse overheid omschrijft EDR op vergelijkbare wijze. Het Office of Management and Budget doet dat in memorandum M-22-01 van 8 oktober 2021, dat Executive Order 14028 uitvoert. Volgens dat memo geeft EDR meer zicht dan traditionele beveiligingsoplossingen, wat nodig is tegen geavanceerde dreigingen zoals polymorfe malware. Dit is de omschrijving van de Amerikaanse overheid, geen Nederlandse of Europese norm.

Bij Microsoft is EDR onderdeel van Microsoft Defender for Endpoint, een breder platform voor endpointbeveiliging. Dat platform omvat ook next-generation protection met ransomwarepreventie, attack surface reduction en vulnerability management.

Hoe werkt een EDR?

Een EDR werkt in vier stappen, en het begint op het apparaat zelf. Een agent of sensor verzamelt gedragsgegevens: welke processen starten, welke netwerkactiviteit er is, welke inlogactiviteit er is en welke wijzigingen er in het register en in bestanden gebeuren. Dat doorlopend bewaken is security monitoring. Die gegevens gaan naar een centrale omgeving en worden daar bewaard. Bij Microsoft Defender for Endpoint is dat zes maanden.

In de derde stap zoekt de EDR niet alleen naar bekende bestanden, maar naar gedrag. Volgens de leverancier CrowdStrike zoekt gedragsanalyse naar indicatoren van een aanval en stuurt die automatisch een melding. Over het benoemen van zulk gedrag lees je meer bij MITRE ATT&CK. Microsoft schrijft dat meldingen met dezelfde aanvalstechnieken of van dezelfde aanvaller worden samengevoegd tot één incident.

In de vierde stap onderzoekt de analist de melding en kan die op het apparaat zelf ingrijpen, bijvoorbeeld door het te isoleren. Een EDR is geen volledige audit- of logoplossing. Microsoft schrijft dat de detectie niet bedoeld is om elke handeling op een endpoint vast te leggen.

Een voorbeeld: een bijlage op een laptop

Dit is een gedachte-experiment, geen beschrijving van één product. Een medewerker opent een bijlage van een e-mail. Het document start een scriptinterpreter. Het script haalt een bestand op van een extern adres, probeert inloggegevens uit het geheugen te lezen en maakt contact met een extern adres.

Een antivirus die het bestand niet kent, ziet misschien niets. De EDR ziet de keten: het document, het script, het nieuwe proces, de geheugentoegang en de netwerkverbinding. Dat levert een melding op met een procesboom, een overzicht van welk proces welk proces heeft gestart.

De analist bekijkt die procesboom en ziet wat er is gestart. Daarna kan de analist de laptop isoleren van het netwerk, het bestand stoppen en in quarantaine zetten, en een indicator toevoegen om het bestand te blokkeren. Ook zoekt de analist of andere laptops hetzelfde bestand hebben. Het onderzoek naar zo'n geval valt onder incident response. Daarna beoordeelt de organisatie of inloggegevens moeten worden vervangen.

Isoleren is een afweging. Het stopt de aanvaller, maar de gebruiker kan niet meer werken en het apparaat is niet meer vanaf het netwerk te beheren. Wie mag isoleren en wanneer, hoort in een afspraak voor het SOC.

Wat is XDR?

Er bestaat geen vaste definitie van XDR van een overheid of normeninstituut. Leveranciers vullen het begrip verschillend in. Microsoft omschrijft Defender XDR als een geïntegreerde suite voor verdediging voor en na een inbraak. De suite coördineert detectie, preventie, onderzoek en reactie over endpoints, identiteiten, e-mail en toepassingen. Het gebruikt signalen van onder meer Defender for Endpoint, Defender for Office 365, Defender for Identity en Defender for Cloud Apps.

Het idee in gewone taal is dat signalen uit meerdere domeinen op één plek samenkomen tot één incident. Microsoft geeft een voorbeeld. Wordt een kwaadaardig bestand gevonden op een endpoint dat met Defender for Endpoint is beschermd, dan draagt dat Defender for Office 365 op om het bestand uit alle e-mailberichten te scannen en te verwijderen. Automatic attack disruption kan volgens Microsoft gecompromitteerde gebruikersaccounts uitschakelen en getroffen apparaten isoleren.

Een EDR ziet alleen het endpoint, terwijl XDR meer wegen van een aanval probeert te volgen. Producten en leveranciers verschillen in hoe ver die koppeling gaat, dus lees in de documentatie van de leverancier welke bronnen echt worden gekoppeld.

EDR of XDR: wat is het verschil?

XDR is geen opvolger waarmee EDR verdwijnt. Bij Microsoft is Defender for Endpoint zelf onderdeel van Defender XDR.

EDR, antivirus, SIEM en SOAR: wat is het verschil?

Een EDR is dus geen SIEM. In de praktijk stuurt een EDR wel meldingen en gegevens naar een SIEM. Microsoft noemt Defender for Endpoint als product waarmee Microsoft Sentinel integreert, en Sentinel ondersteunt gegevens via common event format, Syslog of een REST-API. Volgens Microsoft op 5 november 2026 wordt Sentinel na 31 maart 2027 niet meer ondersteund in de Azure-portal en alleen nog beschikbaar in de Microsoft Defender-portal, zie de Sentinel-pagina van Microsoft.

Welke EDR- en XDR-producten zijn er?

Drie voorbeelden, zonder onderlinge vergelijking. Microsoft Defender for Endpoint ondersteunt Windows, macOS, Linux, Android en iOS. Defender XDR is de bredere suite waar Defender for Endpoint onderdeel van is.

CrowdStrike is een EDR-leverancier. Het bedrijf beschrijft dat het product gebeurtenissen vastlegt, zoals het aanmaken van processen, en dat een gecompromitteerde host van het netwerk kan worden afgesloten. Dit komt van de leverancier zelf en zegt alleen wat het product doet.

Elastic Defend laat de Elastic Agent proces-, netwerk- en bestandsgebeurtenissen op een host bewaken en naar Elastic Security sturen.

Een vacature kan het product noemen dat de werkgever gebruikt. Wie één product kent, leert een tweede doorgaans sneller, omdat de vragen hetzelfde blijven: wat gebeurde er op welk apparaat, en welke melding hoort erbij. Organisaties zonder eigen SOC besteden het bewaken soms uit aan een managed detection and response (MDR)-dienst. De invulling verschilt per aanbieder en contract.

Wat gaat er vaak mis met EDR?

Niet elk apparaat is bedekt. Bij sommige netwerkapparatuur en oudere systemen kan mogelijk geen agent draaien, en die blijven dan buiten beeld. Het NCSC adviseert EDR op clients én servers, zoals het Incidentenresponsplan Ransomware noemt.

Een EDR zonder eigenaar levert meldingen op die niemand opvolgt. Te veel meldingen maken het ook lastig om de echte te zien. Zonder afspraak over wie 's nachts mag isoleren, kan een incident wachten op een beslissing die niemand neemt.

Een EDR in blokkeermodus kan legitieme software storen, dus test eerst. De agent verzamelt gegevens over wat gebruikers op hun apparaat doen. Welke gegevens je bewaart, wie ze mag zien en hoe lang, hoort in de afspraken, en daarbij helpt de AVG-kennis voor privacy-professionals. Tot slot vervangt een EDR het patchen niet, en het vervangt ook geen goed toegangsbeheer.

Wie werkt met EDR en XDR?

Het werk valt onder security operations. Meerdere rollen werken met de gegevens van een EDR, en titels en taakverdeling verschillen per organisatie.

• SOC-analist. Beoordeelt de meldingen. Zie de vacatures en de rolgids.
• Incident Responder. Gebruikt het EDR om te zien wat er op een apparaat is gebeurd en om te isoleren. Zie de vacatures en de rolgids.
• Threat Hunter. Zoekt actief in de gedragsgegevens. Zie de vacatures en de rolgids.
• Detection Engineer. Stelt de regels en uitzonderingen af die meldingen maken. Zie de vacatures.
• SOC Engineer en Security Engineer. Rolt de agent uit en beheert het platform. Zie de vacatures voor SOC Engineers en de vacatures voor Security Engineers.
• Digital Forensics Specialist. Gebruikt de gegevens als bewijsmateriaal. Zie de vacatures.

Er bestaat geen officieel ENISA-profiel voor een EDR-specialist. Op de werkgeverspagina voor SOC-analisten zie je welke werkgevers deze functie hebben.

Als suggestie kun je het zelf oefenen. Installeer een proefversie van een EDR-product op een testlaptop in een virtuele machine, laat een onschuldig testbestand een melding geven en onderzoek die melding. Oefen alleen op eigen systemen.