Endpoint-Isolierung.

EDR-Response-Aktion, die einen kompromittierten Host vom Netz trennt (ausser zur Sicherheitsplattform), damit Angreifer waehrend der Untersuchung nicht lateral wandern. Es gehört zur Kategorie Verteidigung und Betrieb der Cybersicherheit.

EDR-Response-Aktion, die einen kompromittierten Host vom Netz trennt (ausser zur Sicherheitsplattform), damit Angreifer waehrend der Untersuchung nicht lateral wandern.

Endpoint-Isolierung — auch Network Containment, Host Quarantine oder Host Isolation — ist eine Ein-Klick-Reaktion in modernen EDR-Plattformen wie CrowdStrike Real Time Response, der 'Isolate device'-Aktion in Microsoft Defender for Endpoint, SentinelOne Network Isolation, Carbon Black Cb Live Response und Cortex XDR. Der Kernel-Agent verwirft oder blockt jeglichen Netzwerkverkehr des Endpunkts ausser zur Management-Ebene. Damit werden C2-Beacons, Ransomware-Verschluesselung von Fileshares und Lateral Movement sofort gestoppt, und das SOC kann untersuchen, Artefakte sichern und beheben. Best Practice: Isolation mit SOAR-Playbooks (Tines, XSOAR, Splunk SOAR) verknuepfen, fuer Server eine Doppelfreigabe verlangen und das Aufheben regelmaessig ueben.

Schutzmaßnahmen gegen Endpoint-Isolierung kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Netzwerk-Containment, Host-Isolierung, Host-Quarantane.