EDR

Wat is EDR?

EDR (Endpoint Detection and Response) is beveiligingssoftware die op endpoints zoals werkstations, servers en laptops continu gedrag registreert, verdachte activiteit detecteert en beveiligingsteams in staat stelt een incident te onderzoeken en direct in te grijpen, bijvoorbeeld door een apparaat te isoleren. Waar klassieke antivirus vooral bekende kwaadaardige bestanden tegenhoudt, kijkt EDR naar wat processen, gebruikers en netwerkverbindingen doen. Daarmee is EDR een kernbouwsteen van een SOC, een Zero Trust-strategie en de zorgplicht onder NIS2. In industriële besturingssystemen en andere OT-omgevingen vraagt EDR wel extra zorg, omdat een agent op een HMI of engineering station het proces niet mag verstoren.

🕰️ Waar komt de term EDR vandaan?

Gartner-analist Anton Chuvakin introduceerde in juli 2013 de term Endpoint Threat Detection and Response (ETDR) voor tools die zich richten op het detecteren en onderzoeken van verdachte activiteiten en sporen daarvan op hosts en endpoints. Rond 2015 werd de term ingekort tot EDR, en die naam is sindsdien de marktstandaard.

De categorie ontstond omdat preventie alleen niet meer volstond. Gerichte aanvallen, ransomware-groepen en living off the land-technieken (misbruik van legitieme beheertools als PowerShell) glipten langs handtekening-gebaseerde scanners. EDR verschoof de focus naar zichtbaarheid en snelle respons: aannemen dat een aanvaller binnenkomt en de tijd tot ontdekking (dwell time) zo kort mogelijk maken.

Later volgden twee verwante begrippen: XDR (Extended Detection and Response), in 2018 geïntroduceerd door Nir Zuk van Palo Alto Networks, en MDR (Managed Detection and Response), de dienst waarin een externe partij de detectie en respons voor u uitvoert.

🔧 Wat kan EDR?

Een EDR-oplossing bestaat uit een lichte agent op elk endpoint en een centrale console (cloud of on-premises) voor analyse. De kernfuncties:

• Telemetrie verzamelen — processtarts, commandoregels, bestandswijzigingen, registersleutels, netwerkverbindingen, inlogpogingen en USB-gebruik worden continu vastgelegd als logging
• Gedragsdetectie — regels, machine learning en koppeling aan MITRE ATT&CK herkennen verdachte ketens, zoals Office dat PowerShell start dat een externe verbinding opent
• Preventie — veel EDR-producten bevatten ook antivirus en exploitbescherming en blokkeren malware voordat die start
• Onderzoek en forensics — een tijdlijn van de volledige aanvalsketen, zodat analisten zien hoe een aanvaller binnenkwam en wat er is geraakt
• Respons — een endpoint netwerkmatig isoleren, een proces beëindigen, een bestand in quarantaine plaatsen, een script uitvoeren of wijzigingen terugdraaien
• Threat hunting — analisten doorzoeken de opgeslagen telemetrie proactief op aanwijzingen die geen alarm gaven, verrijkt met threat intelligence

Ter illustratie van typische waarden: Microsoft Defender for Endpoint bewaart gegevens standaard 180 dagen (instelbaar vanaf 30 dagen) en houdt ruwe telemetrie 30 dagen doorzoekbaar via advanced hunting. Het product kent volledige isolatie en selectieve isolatie, waarbij u uitzonderingen definieert voor verkeer dat moet blijven werken.

🔄 Wat is het verschil tussen antivirus, EDR, XDR en MDR?

In de praktijk overlappen de categorieën. Moderne EDR-producten bevatten de antivirusfunctie, XDR bouwt meestal voort op een EDR-agent, en veel MDR-diensten draaien op de EDR of XDR van één leverancier. Voor het netwerk is NDR de tegenhanger van EDR; in OT is netwerkmonitoring vaak zelfs de eerste stap, omdat daar niet op elk apparaat een agent kan draaien. Een SIEM verzamelt daarnaast logs uit alle bronnen voor correlatie en compliance-rapportage.

🏭 Wanneer zet u EDR in voor IT of OT?

In IT is EDR inmiddels standaard op werkplekken en servers. De Amerikaanse overheid maakte het met Executive Order 14028 en OMB-memo M-22-01 (oktober 2021) verplicht voor federale instanties. In OT ligt het genuanceerder. EDR werkt alleen op hosts met een gangbaar besturingssysteem, dus op de Windows- en Linux-systemen in Purdue-niveau 2 en 3: HMI’s, SCADA-servers, historians, engineering stations en jump servers voor remote access. Op PLC’s, O en andere embedded apparaten draait geen agent; die worden bewaakt met netwerkmonitoring.

Siemens publiceert bijvoorbeeld per versie van PCS 7 en WinCC welke virusscanners en whitelistingoplossingen getest zijn, inclusief de aanbevolen instellingen. Die instellingen zijn een afweging tussen detectie en deterministisch gedrag van de procesbesturing. Ook de OT-zerotrustrichtlijn die CISA in april 2026 met andere Amerikaanse overheidsdiensten publiceerde, wijst erop dat systemen onder het HMI-niveau vaak geen EDR-agent kunnen dragen en dat cloudgebonden EDR botst met geïsoleerde netwerken.

Het risico van automatische updates werd zichtbaar op 19 juli 2024: een foutieve contentupdate van CrowdStrike Falcon liet wereldwijd ongeveer 8,5 miljoen Windows-systemen crashen, waaronder systemen in luchtvaart, zorg en industrie. Voor OT is dat het sterkste argument om updates van beveiligingssoftware net zo gecontroleerd uit te rollen als patches.

🧭 Hoe voert u EDR stapsgewijs in een OT-omgeving in?

1. Inventariseer de endpoints — maak met asset inventory een lijst van alle Windows- en Linux-hosts met besturingssysteem, versie, rol en kritikaliteit.
2. Controleer leverancierseisen — raadpleeg de compatibiliteitslijsten van uw DCS-, SCADA- en machineleveranciers en leg vast welke producten en versies zijn toegestaan.
3. Kies per systeemtype — volledige EDR voor servers en engineering stations; alleen detectie voor HMI’s; whitelisting of lockdown voor legacy- en vaste-functiesystemen.
4. Test op een referentiesysteem — meet CPU, geheugen en schijfbelasting tijdens normaal bedrijf en bij een volledige scan; stel uitsluitingen in voor projectmappen en databases.
5. Ontwerp de architectuur — plaats de console of relay in de DMZ of een beheerzone volgens netwerksegmentatie, zodat OT-hosts niet direct met internet praten.
6. Rol gefaseerd uit — start in audit mode, één cel of lijn per keer, en schakel blokkering pas in na een periode zonder valse meldingen.
7. Leg respons vast — beschrijf in het incident response plan wie mag isoleren, wanneer de operator wordt betrokken en hoe u terugvalt op handbediening.
8. Koppel aan monitoring — stuur meldingen naar een SIEM of OT SOC en combineer ze met netwerkmonitoring van bijvoorbeeld Nozomi, Claroty of Dragos.

Binnen IEC 62443-3-3 sluit EDR aan op de eisen voor bescherming tegen kwaadaardige code (SR 3.2) en continue monitoring (SR 6.2). NIST SP 800-82 (revisie 3, 2023) beschrijft vergelijkbare overwegingen voor hostbeveiliging in OT.

🧩 Welke soorten EDR-oplossingen bestaan er?

De laatste rij is bewust opgenomen, omdat Nozomi, Claroty en Dragos vaak ten onrechte EDR worden genoemd. Hun kernproducten analyseren netwerkverkeer en zijn daarmee een aanvulling op EDR, geen vervanging. Onafhankelijke vergelijkingen biedt onder meer MITRE met de ATT&CK Evaluations, die sinds 2018 EDR-producten testen tegen nagebootste aanvallers en in 2021 een eerste ICS-ronde hielden op basis van TRITON.

🔐 Waarom is EDR belangrijk voor NIS2 en compliance?

EDR wordt in NIS2 niet bij naam genoemd, maar ondersteunt meerdere maatregelen uit de zorgplicht van artikel 21, zoals incidentafhandeling, detectie en beleid voor cyberhygiëne. In Nederland geldt die zorgplicht sinds 15 augustus 2026 via de Cyberbeveiligingswet. Ook voor ISO 27001 (in de versie van 2022 de beheersmaatregelen A.8.7 voor bescherming tegen malware en A.8.16 voor monitoring) en de BIO levert EDR aantoonbaar bewijs: wie, wat en wanneer is vastgelegd. Daarbij geldt wel dat EDR slechts één laag is binnen defense in depth; segmentatie, back-ups en een geoefend incidentproces blijven nodig.

❓ Veelgestelde vragen

Is EDR hetzelfde als antivirus?

EDR is niet hetzelfde als antivirus. Antivirus blokkeert vooral bekende kwaadaardige bestanden, terwijl EDR continu gedrag op het endpoint registreert, verdachte ketens detecteert en respons zoals isolatie mogelijk maakt. Veel moderne EDR-producten bevatten wel een antivirusfunctie.

Kan EDR op een PLC draaien?

EDR kan niet op een PLC draaien, omdat een PLC geen gangbaar besturingssysteem heeft waarop een agent te installeren is. PLC’s en andere embedded apparaten worden bewaakt met passieve netwerkmonitoring. EDR beschermt de Windows- en Linux-systemen eromheen, zoals HMI’s en engineering stations.

Werkt EDR zonder internetverbinding?

EDR werkt ook zonder internetverbinding, mits u een product kiest met een on-premises console of lokale relay. De agent blijft lokaal detecteren en blokkeren, maar cloudanalyse en automatische updates vallen weg. In air-gapped OT-netwerken worden updates dan handmatig en gecontroleerd ingebracht.

Is automatische isolatie verstandig in OT?

Automatische isolatie is in OT alleen verstandig voor systemen waarvan uitval het proces niet raakt. Wordt een HMI of SCADA-server automatisch geïsoleerd, dan verliest de operator het zicht op de installatie. Daarom kiezen veel organisaties op kritieke OT-systemen voor alleen detectie of handmatige respons na overleg met de operatie.

Wat is het verschil tussen EDR en XDR?

EDR richt zich op detectie en respons op endpoints, XDR combineert daarnaast data uit netwerk, identiteit, e-mail en cloud. XDR bouwt meestal voort op een EDR-agent en correleert meldingen over de hele omgeving. Voor een kleinere organisatie is EDR, eventueel als MDR-dienst, vaak de logische eerste stap.

Heb ik een SOC nodig om EDR te gebruiken?

Voor effectief gebruik van EDR heeft u iemand nodig die meldingen beoordeelt en opvolgt, bij voorkeur 24/7. Organisaties zonder eigen SOC nemen daarom vaak een MDR-dienst af, waarbij analisten van een leverancier de EDR-meldingen bewaken en ingrijpen. Zonder opvolging levert EDR vooral ongelezen alarmen op.

📌 Samengevat

EDR registreert continu wat er op endpoints gebeurt, detecteert verdacht gedrag en maakt snelle respons mogelijk, en vormt daarmee de basis van moderne detectie en incidentafhandeling. In OT is EDR waardevol op HMI’s, servers en engineering stations, mits u let op leveranciersgoedkeuring, systeembelasting, gecontroleerde updates en terughoudende automatische respons, aangevuld met netwerkmonitoring voor PLC’s en embedded apparaten.