Endpunkterkennung und -reaktion für Militärnetzwerke: EDR in eingestuften Umgebungen

Ein Angreifer mit dauerhaftem Zugang zu einer eingestuften Militärarbeitsstation kündigt sich nicht an. Er agiert unauffällig innerhalb legitimer Prozessbäume, missbraucht vertrauenswürdige Systemprogramme und bewegt sich seitlich durch die Enklave über Protokolle, die von normalem Verwaltungsverkehr nicht zu unterscheiden sind. Endpunkterkennung und -reaktion (EDR) ist die Disziplin, die entwickelt wurde, um diese Art von Aktivitäten aufzudecken: feingranulare Telemetrie von jedem Endpunkt zu erfassen, Verhaltensmodelle anzuwenden, um Angriffsmuster zu identifizieren, und Analysten die Prozess-Level-Sichtbarkeit zu geben, die sie benötigen, um eine Kompromittierung einzugrenzen und einzudämmen. Die Bereitstellung von EDR in eingestuften Militärumgebungen zwingt jedoch dazu, jede architektonische Annahme, die kommerzielle Anbieter treffen, neu zu überdenken – von der Cloud-Telemetrie-Pipeline bis zum Bedrohungsdaten-Abonnementmodell. Dieser Artikel untersucht die Einschränkungen eingestufter Netzwerke, die die EDR-Architektur prägen, die Erkennungsmechanismen, die gegen fortgeschrittene Bedrohungen am wichtigsten sind, sowie den Integrationspfad von EDR zu militärischen SIEM- und automatisierten Incident-Response-Systemen.

Warum kommerzielle EDR-Produkte in eingestuften Militärumgebungen versagen

Der kommerzielle EDR-Markt basiert auf einer gemeinsamen architektonischen Annahme: Der Endpunktagent überträgt Telemetrie an ein Cloud-gehostetes Analyse-Backend des Anbieters, wo Bedrohungssuche, Machine-Learning-Inferenz und Bedrohungskorrelation in großem Maßstab stattfinden. Dieses Modell liefert Echtzeit-Erkennungsfähigkeit für Unternehmenskunden mit internetverbundenen Endpunkten, kann jedoch in einer eingestuften Militärenklave grundsätzlich nicht betrieben werden. Luftspaltnetzwerke, strenge Ausgangsfilterung und Datenschutzanforderungen auf Einstufungsebene verhindern jegliche ausgehende Telemetrieübertragung in eine kommerzielle Cloud. Sobald die Netzwerkverbindung unterbrochen wird, erlischt der Großteil der Erkennungsfähigkeit eines kommerziellen EDR-Produkts.

Darüber hinaus sind kommerzielle EDR-Produkte auf kontinuierliche anbieterverwaltete Updates angewiesen: tägliche oder stündliche Signatur-Feeds, Neutraining von Verhaltensmodellen auf dem Bedrohungsdaten-Korpus des Anbieters und automatische Agenten-Updates über das Internet. In einer eingestuften Umgebung muss jedes Software-Update eine genehmigte Cross-Domain-Lösung durchlaufen oder auf Wechselmedien unter Vier-Augen-Prinzip geliefert werden. Update-Zyklen, die kommerzielle Produkte automatisch in Minuten abwickeln, erstrecken sich in eingestuften Umgebungen auf Wochen. Ein Signatur-Feed, der 30 Tage veraltet ist, ist gegenüber einem staatlichen Angreifer, der sein Werkzeug kontinuierlich wechselt, operativ nutzlos. EDR, das in eingestuften Umgebungen eingesetzt wird, muss daher von Grund auf für den Offline-Betrieb konzipiert sein, wobei Bedrohungsdaten-Updates als bewusste, prüfbare Lieferkettenaktion und nicht als Hintergrund-Netzwerktransaktion behandelt werden.

Es gibt auch eine Lizenz- und Anbieter-Zugang-Dimension, die weniger Aufmerksamkeit erhält als die technischen Einschränkungen. Viele kommerzielle EDR-Produkte gewähren dem Anbieter laufenden Fernzugang zur Verwaltungskonsole oder zur Agenten-Konfiguration für Support- und Fehlerbehebungszwecke. Auf einem eingestuften System ist der Fernzugang durch Anbieter entweder vollständig verboten oder erfordert eine äußerst restriktive kontrollierte Zugriffsvereinbarung, die die meisten kommerziellen Anbieter nicht bereit oder in der Lage sind zu unterstützen. Zweckgebundene oder offene EDR-Frameworks, die der Kunde vollständig kontrolliert – einschließlich der Verwaltungsinfrastruktur, des Erkennungsmodells und der Update-Pipeline –, sind die einzige architektonisch saubere Lösung für die sensibelsten eingestuften Programme.

EDR-Agentenarchitektur: Telemetrieerfassung ohne Datenexfiltrations-Risiko

Der EDR-Agent ist eine Software-Komponente auf Kernel- oder Hypervisor-Ebene, die auf jedem Endpunkt installiert wird und das Betriebssystem instrumentiert, um sicherheitsrelevante Ereignisse aufzuzeichnen: Prozesserstellung und -beendigung mit vollständigen Kommandozeilenargumenten, Dateischreibvorgänge an ausführbaren und Skript-Speicherorten, Registrierungsänderungen an Persistenzschlüsselpfaden, Netzwerkverbindungen mit Zieladresse und Port sowie Treiber- und DLL-Ladeereignisse mit Hash- und Signierungsinformationen. In einer eingestuften Umgebung muss der Agent diese Instrumentierung durchführen, ohne selbst ein Datenexfiltrations-Risiko zu erzeugen, was bedeutet, dass die Telemetrie-Pipeline vollständig intern zur eingestuften Enklave sein muss und der Agent nachweislich frei von nicht offengelegten Netzwerkkommunikationskanälen sein muss.

Die Agentenbereitstellung auf eingestuften Militärendpunkten erfordert einen Software-Lieferkettenprozeß, der wesentlich strenger ist als die kommerzielle Unternehmenspraxis. Das Agenten-Binary muss – durch Quellcode-Prüfung, Binäranalyse oder beides – überprüft werden, um zu bestätigen, dass es keine Telemetriekanäle über die dokumentierten hinaus, keine automatischen Update-Mechanismen und kein kryptografisches Schlüsselmaterial enthält, das zur Einrichtung verdeckter Kommunikation verwendet werden könnte. Diese Prüfung muss für jede Agenten-Versionsaktualisierung vor der Bereitstellung wiederholt werden. Die Prüfbelastung ist ein Hauptgrund dafür, warum eingestufte EDR-Bereitstellungen offene Architektur-Frameworks bevorzugen, bei denen der Kunde Zugang zum vollständigen Quellcode hat, anstatt kommerzielle Blackbox-Agenten, deren internes Verhalten aus der Verhaltensüberwachung erschlossen werden muss.

Der Telemetrie-Erfassungsumfang muss für die eingestufte Umgebung sorgfältig abgestimmt werden. Die Erfassung von Rohdateiinhalten oder vollständigen Arbeitsspeicher-Dumps in der Echtzeit-Telemetrie-Pipeline ist operativ nicht ratsam: Das Volumen ist extrem, der Datenschutzeinstufungsgrad des gesammelten Materials kann höher sein als die eigene Einstufungsebene des Endpunkts, und die Speicher- und Verarbeitungsinfrastruktur, die erforderlich ist, um den vollständigen Telemetriestrom im großen Maßstab zu verarbeiten, ist möglicherweise innerhalb der Enklave nicht verfügbar. Produktive eingestufte EDR-Bereitstellungen erfassen strukturierte Ereignisdatensätze – Prozessbäume, Netzwerkfluss-Zusammenfassungen, Dateipfad- und Hash-Datensätze – und behalten die rohe Speichererfassung für bedarfsgesteuerte forensische Erhebungen vor, die durch einen bestätigten Alarm ausgelöst werden. Diese Architektur hält das kontinuierliche Telemetrievolumen handhabbar und bewahrt gleichzeitig die Fähigkeit, umfangreiche forensische Daten zu erfassen, wenn sie tatsächlich benötigt werden.

Verhaltensanalyse vs. Signaturerkennung: Was jede erkennt und was ihr entgeht

Die Signaturerkennung – der Vergleich von Datei-Hashes oder Byte-Sequenzen mit einer Datenbank bekannter Schadcode-Artefakte – ist schnell, erzeugt null Fehlalarme für bekannte Bedrohungen und verursacht minimalen Rechenaufwand auf dem Endpunkt. Sie ist jedoch strukturell blind für jede Bedrohung, die keiner bekannten Signatur entspricht: neuartige Schadsoftware, modifizierte oder neu kompilierte Werkzeuge, dateilose Angriffstechniken, die vollständig im Arbeitsspeicher ausgeführt werden, und Living-off-the-Land-Techniken, die legitime Betriebssystem-Binärdateien als Waffe einsetzen, die niemals in einer Schadcode-Signaturdatenbank erscheinen werden. Gegen einen staatlichen Angreifer, der gegen eingestufte Militärsysteme vorgeht, bietet die Signaturerkennung allein im Wesentlichen keine Erkennungsabdeckung für den initialen Einbruch, der ausnahmslos zweckgebundene Werkzeuge verwendet, die noch nie zuvor beobachtet wurden.

Die Verhaltensanalyse gibt die Frage auf, ob eine bestimmte Binärdatei als bekanntermaßen schädlich eingestuft ist, und fragt stattdessen, ob eine Abfolge von systemweiten Aktionen eine bekannte Angriffstechnik darstellt. Ein Prozess, der einen untergeordneten Prozess mit einem base64-kodierten Kommandozeilenargument startet, der dann eine Netzwerkverbindung zu einer externen IP herstellt, der dann eine DLL in ein Systemverzeichnis schreibt, zeigt ein Verhaltensmuster, das mit einem Dropper assoziiert ist – unabhängig davon, ob eine der beteiligten Binärdateien zuvor beobachtet wurde. Verhaltenserkennungsregeln werden in Bezug auf Prozessbäume, Ereignisabfolgen und Systemaufrufmuster ausgedrückt und verallgemeinern auf die gesamte Familie von Werkzeugen, die eine gegebene Technik implementieren. Das MITRE ATT&CK-Framework bietet eine strukturierte Taxonomie von Angreifertech­niken, die als Referenzvokabular für die Entwicklung von Verhaltenserkennungsregeln dient und jede Technik den beobachtbaren Telemetrieereignissen zuordnet, die ihre Verwendung verraten.

Die praktische Einschränkung der Verhaltensanalyse sind Fehlalarme. Legitime Verwaltungstools, Patch-Management-Agenten und Missionanwendungs-Installer erzeugen Prozessbaummuster, die oberflächlich Angriffstechniken ähneln. Ein PowerShell-Skript, das von einer Netzwerkfreigabe liest, einen base64-String dekodiert und eine .NET-Assembly aufruft, ist entweder ein Software-Bereitstellungswerkzeug oder ein Schadcode-Dropper – das Verhaltensmuster ist identisch. Die Verwaltung von Fehlalarmen auf eingestuften Militärendpunkten erfordert eine gründliche Basislinienübung: das Ausführen der Verhaltenserkennungs-Engine über Wochen im Prüfmodus, um das vollständige Spektrum legitimer Aktivitäten auf jeder Endpunktklasse abzubilden, und dann das Erstellen von Unterdrückungsregeln, die die bekannten legitimen Muster abdecken, während die Erkennung für dieselben Muster in unerwarteten Kontexten erhalten bleibt. Diese Feinabstimmungsarbeit ist arbeitsintensiv und muss jedes Mal wiederholt werden, wenn sich die Softwarebasislinie auf den Endpunkten erheblich ändert.

Arbeitsspeicher-Forensik und Prozessinjektionserkennung auf Militärendpunkten

Dateilose Schadsoftware und fortgeschrittene Implantate operieren vollständig im flüchtigen Speicher laufender Prozesse und schreiben keine Dateien auf die Festplatte, die herkömmliche Endpunktsicherheits-Tools erkennen könnten. Ein Implantat, das durch Reflective-DLL-Injection in einen legitimen Prozess wie einen Browser oder eine Missionanwendung geladen wurde, überlebt auf unbestimmte Zeit, ohne ein Artefakt auf dem Datenträger zu erzeugen. Die einzige zuverlässige Methode zur Erkennung eines solchen Implantats besteht darin, den Speicher laufender Prozesse direkt zu untersuchen – nach ausführbaren Speicherbereichen zu suchen, die nicht durch eine Datei auf dem Datenträger gesichert sind, nach API-Hook-Ketten, die Systemaufrufe über angreiferkontrollierten Code umleiten, und nach Abweichungen zwischen den In-Memory- und Festplattenabbildern geladener Bibliotheken. Arbeitsspeicher-Forensik ist daher für eingestufte militärische EDR-Bereitstellungen keine optionale Fähigkeitserweiterung – sie ist die primäre Erkennungsschicht für die ausgereiftesten und hartnäckigsten Bedrohungen in der Umgebung.

Die Prozessinjektionserkennung konzentriert sich auf eine spezifische Reihe gut charakterisierter Techniken. Reflective-DLL-Injection lädt eine Bibliothek in den Adressraum eines Prozesses, indem ein eigenständiger Loader-Stub ausgeführt wird, der Importe auflöst und Verschiebungen anwendet, ohne den Standard-Loader des Betriebssystems zu verwenden – was einen Speicherbereich hinterlässt, der ausführbar, beschreibbar und keiner Datei zugeordnet ist. Process-Hollowing ersetzt das ausführbare Abbild eines neu erstellten legitimen Prozesses vor der Wiederaufnahme der Ausführung durch schädlichen Code und erzeugt einen Prozess, dessen Festplattenabbild nicht mit seinem In-Memory-ausführbaren Inhalt übereinstimmt. Thread-Hijacking injiziert Code in den Ausführungskontext eines bestehenden Threads, indem der gespeicherte Registerzustand des Threads geändert wird. Jede dieser Techniken hinterlässt eine charakteristische Speichersignatur, die ein EDR-Agent erkennen kann, indem er den Prozessadressraum durchläuft, Speicherbereichsattribute prüft und ausführbare In-Memory-Inhalte mit dem Festplattenabbild der entsprechenden Datei vergleicht. Auf eingestuften Militärendpunkten, wo die Prozessbasislinie relativ stabil und gut verstanden ist, weisen diese Prüfungen eine hohe Signalgenauigkeit mit handhabbaren Falsch-Positiv-Raten auf.

Eindämmungsabläufe: Einen kompromittierten Endpunkt isolieren ohne den Betrieb zu stören

Der erste Impuls bei der Erkennung einer bestätigten Kompromittierung ist, das Netzwerkkabel zu ziehen – vollständige Isolation, sofort. Diese Reaktion ist für eine Unternehmens-IT-Umgebung, in der Arbeitsstationen austauschbar sind, operativ angemessen. In einer eingestuften Militärumgebung kann der kompromittierte Endpunkt eine aktive C2-Anwendung ausführen, die eine Mission versorgt, einen Sensordaten-Aggregationsprozess, einen kryptografischen Schlüsselverwaltungsdienst oder ein Kommunikationsrelais. Die vollständige Netzwerkisolation dieses Hosts kann operativ dem Zerstören eines Ausrüstungsstücks mitten in einer Mission gleichkommen. Die Eindämmungsentscheidung muss daher die operative Rolle des betroffenen Hosts berücksichtigen, und die EDR-Plattform muss abgestufte Eindämmungsrichtlinien unterstützen, die die Sicherheitsreaktion gegen operative Kontinuität abwägen.

Ein abgestuftes Eindämmungsmodell wendet gezielte Isolation anstelle einer pauschalen Netzwerkblockierung an. Die häufigsten Angriffs-Ausbreitungsvektoren von einem kompromittierten Endpunkt sind SMB-Dateifreigaben, RPC- und DCOM-Remote-Code-Ausführungskanäle und Seitwärtsbewegungswerkzeuge, die administrative Protokolle ausnutzen. Die Blockierung dieser spezifischen Protokolle auf der Host-Firewall – während die Anwendungsschicht-Datenflüsse erhalten bleiben, die der Endpunkt für seine operative Funktion benötigt (TAK-Server-Datenfeed, Sensorschnittstelle, Sprachkommunikation) – stört die Fähigkeit des Angreifers, sich seitlich zu bewegen, während der Host operativ einsatzfähig bleibt. Der EDR-Agent setzt diese Richtlinie auf der Windows Filtering Platform- oder iptables-Ebene durch und wendet Regeln an, die kryptografisch von der Verwaltungskonsole signiert sind und nicht von einem Prozess entfernt werden können, der im Benutzerbereich läuft, selbst nicht von einem unter einem kompromittierten Administratorkonto.

Die Entwicklung von Eindämmungs-Playbooks erfordert eine enge Koordination zwischen dem Cyber-Abwehrteam und dem operativen Personal, das versteht, was jede Workstation-Klasse tatsächlich im Netzwerk tut. Für jede Endpunktrolle – Arbeitsstation, Authentifizierungsserver, Sensor-Aggregator, C2-Terminal – sollte ein vorab genehmigtes Eindämmungsprofil existieren, bevor ein Vorfall eintritt, das von sowohl dem Sicherheitsbeauftragten als auch dem operativen Kommandeur geprüft und genehmigt wurde. Wenn ein bestätigter Alarm ausgelöst wird, wählt der Analyst das entsprechende vorab genehmigte Eindämmungsprofil aus einem SOAR-Playbook aus, anstatt unter Zeitdruck eine benutzerdefinierte Isolationsrichtlinie zu improvisieren. Die Zeit von der Alarmbestätigung bis zur angewendeten Eindämmungsrichtlinie sollte unter fünf Minuten liegen, und das Rollback-Verfahren zur Wiederherstellung des vollständigen Netzwerkzugangs sollte dokumentiert und in unter zwei Minuten ausführbar sein, um eine schnelle operative Erholung zu unterstützen, nachdem eine Untersuchung zu dem Ergebnis gelangt, dass der Alarm ein Fehlalarm war oder die Bedrohung neutralisiert wurde.

Integration mit militärischem SIEM und automatisierter Reaktionsorchestrierung

EDR-Telemetrie ist am wirkungsvollsten, wenn sie mit Daten anderer Sicherheitssensoren korreliert wird: Netzwerkfluss-Datensätze, Authentifizierungsereignisprotokolle, Schwachstellen-Scan-Ergebnisse und Daten zur physischen Zugangskontrolle. Das militärische SIEM ist der Integrationspunkt, an dem diese Datenströme zusammenlaufen, und die Qualität der EDR-zu-SIEM-Integration bestimmt, ob Analysten ein vollständiges Bild eines Vorfalls konstruieren können, der mehrere Endpunkte und Netzwerksegmente umfasst. EDR-Ereignisse müssen in einem Format an das SIEM weitergeleitet werden, das sich sauber dem gemeinsamen Ereignisschema des SIEM zuordnet, mit normalisierten Prozessidentifikatoren, Hostidentifikatoren und Zeitstempeln, sodass ein Prozessausführungsereignis aus EDR automatisch mit dem entsprechenden Authentifizierungsereignis im Windows-Sicherheitsereignisprotokoll und dem entsprechenden Netzwerkfluss-Datensatz aus der Firewall verknüpft werden kann. Ohne diese Normalisierungsschicht erfordern Korrelationsabfragen manuelles Feldzuordnen, das Latenz und Analystenf­ehler in den Vorfall-Eingrenzungsprozess einbringt.

Automatisierte Reaktionsorchestrierung – die SOAR-Schicht oberhalb des SIEM – schließt den Kreislauf von der Erkennung zur Eindämmung, ohne dass ein Mensch jede einzelne Aktion genehmigen muss. Für gut charakterisierte, hochzuverlässige Alarmtypen reduziert die automatisierte Reaktion die Zeit von der Erkennung zur Eindämmung von Stunden (Warten auf einen Analysten, der eine Alarmwarteschlange bearbeitet) auf Sekunden. Die Standard-Automatisierungskandidaten in einer eingestuften militärischen EDR-Bereitstellung sind: Prozessabbruch und Quarantäne für Schadcode-Ausführungserkennungen über einem Konfidenzschwellenwert, Seitwärtsbewegungsblockierung auf Host-Ebene für Anmeldedatendiebstahl-Erkennungen und Snapshot-Erfassung zur Arbeitsspeicher-Forensik-Überprüfung, wenn ein anomaler Speicherbereich erkannt wird. Jede automatisierte Aktion muss mit dem auslösenden Alarmidentifikator, der spezifisch durchgeführten Aktion und der Bestätigung des Agenten, dass die Aktion angewendet wurde, protokolliert werden, wodurch ein Prüfpfad entsteht, der die Nachbesprechung und die formalen Berichtspflichten der militärischen Cyber-Incident-Response unterstützt.

Die SIEM- und SOAR-Integrationsarchitektur für Militärnetzwerke muss auch die Einstufungsebene der EDR-Telemetrie selbst berücksichtigen. Prozesserstellungsereignisse, die die vollständigen Kommandozeilenargumente jedes Prozesses auf einem eingestuften Endpunkt aufzeichnen, können selbst eingestufte Informationen enthalten: Dateipfade zu eingestuften Daten, Benutzernamen von sicherheitsüberprüftem Personal und Fragmente eingestufter Dokumentennamen. Die Telemetrie-Pipeline muss jeden Ereignisdatensatz auf der entsprechenden Ebene einstufen und entsprechend behandeln, was in der Praxis bedeutet, dass die EDR-Verwaltungskonsole und das SIEM beide auf der höchsten Einstufungsebene eines von ihnen überwachten Endpunkts zugelassen sein müssen. Der Aufbau einer einheitlichen EDR-Plattform, die mehrere Einstufungsebenen umfasst, ist technisch komplex und wird typischerweise durch ein Modell mit separaten Instanzen und einem einseitigen Datenexport über eine genehmigte Cross-Domain-Lösung angegangen.

Zulassungsherausforderungen: EDR durch den Genehmigungsprozess für eingestufte Systeme bringen

Das Erlangen einer Betriebsgenehmigung (Authority to Operate, ATO) für eine EDR-Bereitstellung auf einem eingestuften Militärsystem ist eine der zeitaufwendigsten und technisch anspruchsvollsten Software-Zulassungsübungen im Verteidigungsbereich. Die zentrale Herausforderung besteht darin, dass EDR per Design eine privilegierte Systemkomponente mit Kernel-Zugang zu jedem Prozess, jeder Datei und jeder Netzwerkverbindung auf dem Host ist. Ein EDR-Agent, der nicht offengelegte Funktionalitäten enthielte – einen verdeckten Kanal, einen versteckten Telemetriestrom oder eine Fernausführungsfähigkeit –, würde eine katastrophale Lieferkettenkompromittierung der gesamten eingestuften Enklave darstellen. Die Zulassungsbehörde verlangt daher ein Niveau der Software-Sicherheitsverifikation, das weit über das hinausgeht, was auf die meisten Anwendungsschicht-Software angewendet wird: vollständige Quellcode-Prüfung (oder bei reinen Binärprodukten eine binäre statische Analyse kombiniert mit dynamischer Verhaltensüberwachung), ein kryptografischer Build-Verifizierungsprozess und ein definiertes Verfahren zur Überprüfung jedes Updates, bevor es auf eingestufte Endpunkte angewendet wird.

Die Verhaltenserkennungsmodelle und Regelwerke innerhalb des EDR-Systems erzeugen ein sekundäres Zulassungsanliegen, das weniger offensichtlich, aber gleichermaßen wichtig ist. Erkennungsregeln kodieren Wissen darüber, was auf den eingestuften Endpunkten anomales Verhalten darstellt – welche Prozesse auf welche Dateien zugreifen, welche Netzwerkverbindungen erwartet werden, welche Registrierungspfade durch legitime Operationen modifiziert werden. Wenn ein Angreifer eine Kopie des Erkennungsregelwerks erlangt, erhält er eine genaue Spezifikation, welche Verhaltensweisen das EDR markieren wird und welche nicht, was es ihm ermöglicht, Einbruchsoperationen zu entwerfen, die vollständig im Regelspielraum bleiben. Erkennungsregeln und Verhaltensmodelle müssen daher auf einem angemessenen Niveau eingestuft und als vertrauliche Konfigurationsdaten behandelt werden, mit strengen Zugriffskontrollen und einem Änderungsmanagementprozess, der jede Änderung verfolgt.

Praktische Zulassungszeiträume für EDR auf eingestuften Systemen betragen typischerweise 12 bis 24 Monate für neue Produkte, die zuvor noch nicht bewertet wurden. Produkte, die bereits eine Bewertung für ein eingestuftes Programm abgeschlossen haben, können manchmal frühere Bewertungsartefakte nutzen, um nachfolgende Zulassungen zu beschleunigen – ein Prozess, den das US-amerikanische DoD durch den Continuous ATO (cATO)-Rahmen für Cybersicherheits-Tools formalisiert. Die Auswahl eines EDR-Produkts oder -Frameworks, das bereits eine Erfolgsbilanz bei eingestuften Systemeinsätzen und vorhandene Bewertungsdokumentation hat, verkürzt den Zulassungszeitraum erheblich. Für Programme, die nicht auf eine vollständige ATO warten können, ermöglicht der Betrieb des EDR in einem reinen Überwachungsmodus (Telemetrieerfassung und -analyse ohne automatisierte Reaktion) unter einer vorläufigen Testgenehmigung (Interim Authority to Test, IATT), dass das Sicherheitsteam damit beginnt, Erkennungsfähigkeiten und eine Verhaltensbasislinie aufzubauen, während die vollständige ATO bearbeitet wird.