Deep Discovery (Network Detection)

Trend Deep Discovery NDR ist eine Produktfamilie für Network Detection and Response, die den Netzwerkverkehr eines Unternehmens passiv mithört und dabei gezielte Angriffe (APT), laterale Bewegung und Datenabflussversuche erkennt. Die Enterprise-Sparte des Herstellers Trend Micro trägt seit März 2026 den Namen TrendAI™; Produktnamen, bestehende Lizenzen und der Name der Muttergesellschaft (Trend Micro Incorporated) blieben unverändert. Der Kern der Familie, Deep Discovery Inspector, wird über einen SPAN-Port oder TAP an das Netzwerk angebunden; er überwacht alle Netzwerkports und mehr als 100 Netzwerkprotokolle und deckt damit sowohl Nord-Süd- als auch Ost-West-Verkehr ab (Trend Micro Deep Discovery Inspector Datasheet, 2024). In dieses Sichtfeld fällt jedes Objekt im Netzwerk — auch Drucker, IP-Kameras, OT-Steuerungen, Medizingeräte und Gastgeräte, auf denen sich kein Endpunkt-Agent installieren lässt.

Warum diese Schicht nötig ist, zeigen die Zahlen zu Sicherheitsverletzungen. Laut dem Verizon Data Breach Investigations Report 2025 ist die Ausnutzung von Schwachstellen als initialer Zugriffsschritt binnen eines Jahres um 34 % gewachsen und macht inzwischen 20 % der Sicherheitsverletzungen aus (Verizon 2025 DBIR, 2025). Nach der im selben Jahr veröffentlichten Messung von IBM vergehen weltweit im Durchschnitt 241 Tage, bis eine Sicherheitsverletzung erkannt und eingedämmt ist (IBM Cost of a Data Breach Report 2025, 2025). Wenn ein Angreifer sich monatelang in der Umgebung halten kann, ist das Problem nicht allein die Blockierung, sondern die Sichtbarkeit — und dort, wo kein Endpunkt-Agent vorhanden ist, ist das Netzwerk der einzige Zeuge.

Welche Angriffsverhalten erkennt Deep Discovery genau?

Die Erkennungen arbeiten weniger über Signaturabgleich als über Verhalten und Kontext: Command-and-Control-Kommunikation (C&C), Nutzung verdeckter Kanäle, interne Aufklärung im Netz, laterale Bewegung, ungewöhnlich große Datenabflüsse und die Verifizierung unbekannter Schadsoftware in der Sandbox. Die Engines betrachten nicht ein einzelnes Paket, sondern die Ereigniskette eines Objekts; deshalb ist das Ergebnis keine Alarmliste, sondern eine Angriffserzählung.

In der Praxis werden folgende Verhaltensgruppen überwacht:

• Command-and-Control-Verkehr: Rückrufkanäle über Web, Namensauflösung und weniger bekannte Protokolle sowie Verbindungsmuster in festen Intervallen (Beaconing).
• Verdeckte Kommunikationskanäle: in DNS, ICMP oder erlaubten Webprotokollen versteckte Datenströme; genau diese Kategorie verlangt PCI DSS v4.0 von Dienstleistern ausdrücklich zu erkennen.
• Laterale Bewegung: Ausbreitungsversuche von Server zu Server über Dateifreigabe-, Remote-Desktop-, Fernwartungs- und Verzeichnisdienstprotokolle.
• Datenabfluss: Übertragungen an ungewöhnliche Ziele, zu ungewöhnlichen Zeiten und in ungewöhnlichem Volumen; komprimierte und fragmentierte Abflussmuster.
• Unbekannte Schadsoftware: Ausführung von ausführbaren Dateien, Skripten und Dokumentanhängen aus dem Netzwerkverkehr in der Sandbox und deren verhaltensbasierte Klassifizierung.
• Agentenlose Objekte: anormaler Verkehr und unerwartete externe Verbindungen von Geräten, auf denen sich kein Endpunktschutz installieren lässt.

Diese Verhaltensgruppen haben eines gemeinsam: Keine von ihnen lässt sich auf die Frage reduzieren, ob eine einzelne Datei bösartig ist. Die meisten Werkzeuge eines gezielten Angriffs sind ohnehin legitime Komponenten, die bereits im System vorhanden sind; anormal ist nicht das Werkzeug, sondern der Kontext seiner Verwendung. Die Netzwerkebene ist der einzige Ort, an dem dieser Kontext festgehalten wird — wer mit wem, wann und in welchem Volumen spricht.

Warum ist eine unternehmensspezifische Sandbox wirksamer als eine Standard-Cloud-Sandbox?

Weil gezielte Schadsoftware ihre Ausführungsumgebung erkennt. Die angepasste Sandbox von Deep Discovery verwendet virtuelle Images, die exakt der Betriebssystemkonfiguration, den Treibern, den installierten Anwendungen und den Sprachversionen des jeweiligen Unternehmens entsprechen; damit werden Bedrohungen erfasst, die darauf ausgelegt sind, Standard-Images zu meiden (Trend Micro Deep Discovery Inspector Datasheet, 2024).

Ein Team, das einen gezielten Angriff entwickelt, testet sein Sample zunächst in verbreiteten Analyseumgebungen. Spuren virtueller Maschinen, fehlende Treiber, englische Systemsprache, das Fehlen unternehmensinterner Anwendungen, ein Maschinenabbild ohne Domänenbeitritt — sobald eines dieser Signale auftaucht, beendet sich die Schadsoftware, ohne etwas zu tun, und die Analyse liefert das Ergebnis "sauber". Wird das Golden Image des Unternehmens in die Sandbox übernommen, entfällt dieses Ausweichmanöver: Eine türkische Windows-Installation, der interne ERP- oder Banking-Client, der VPN-Client und der Zertifikatsspeicher werden Teil des Images. Wird dasselbe Sample auch am Endpunkt gesehen, erfolgt die Blockierung über den Endpunktschutz Apex One.

Der zweite Unterschied zeigt sich nach der Analyse. Die Sandbox liefert nicht nur die Entscheidung "bösartig" oder "sauber"; sie meldet auch die kontaktierten Domänen, abgelegten Dateien, erzeugten Prozesse und vorgenommenen Registry-Änderungen des Samples. Diese Indikatoren (IoC) lassen sich unmittelbar in eine Hunting-Abfrage überführen: Welches andere Gerät hat dieselbe Domäne kontaktiert, auf welchem anderen Server ist derselbe Dateiname entstanden? Aus der Erkennung wird so statt der Schließung eines Einzelvorfalls die Durchsuchung der gesamten Kampagne.

Wie wird laterale Bewegung auf Netzwerkebene sichtbar?

Laterale Bewegung ist definitionsgemäß Verkehr zwischen zwei internen Systemen; deshalb bekommt die Perimeter-Firewall sie überhaupt nicht zu Gesicht. Da Deep Discovery Inspector auch Ost-West-Verkehr abdeckt (Deep Discovery Inspector Datasheet, 2024), sieht es eine von Server zu Server geöffnete Dateifreigabesitzung, eine unerwartete Remote-Desktop-Verbindung oder ein Dienstkonto, das auf Freigaben zugreift, die es zuvor nie berührt hat.

Diese Sichtbarkeit ist auch beim Lieferkettenrisiko entscheidend. Der Verizon 2025 DBIR berichtet, dass sich der Anteil der Sicherheitsverletzungen mit Beteiligung Dritter binnen eines Jahres von 15 % auf 30 % verdoppelt hat (Verizon 2025 DBIR, 2025). Eine Bewegung, die über eine zu Wartungszwecken in Ihr Netz aufgebaute Lieferantensitzung eintritt, erscheint nicht in Ihrem Endpunktinventar; im Netzwerkfluss erscheint sie.

Im Ransomware-Szenario wiederum ist die Aufklärungs- und Ausbreitungsphase vor der Verschlüsselung das einzige Zeitfenster, das Ihnen für eine Reaktion bleibt. Nach Daten der Trend Zero Day Initiative wurden seit 2020 bei Ransomware-Angriffen 59 Zero-Day-Schwachstellen eingesetzt (Trend 2025 Cyber Risk Report, 2025); der initiale Zugriff kann also über eine Lücke erfolgen, für die es noch keinen Patch gibt. Da sich der Erstzugriff nicht immer verhindern lässt, wird es entscheidend, den zweiten Schritt sehen zu können.

Welche Deep-Discovery-Kapazität passt zu welchem Netzwerk?

Bei der Bereitstellung von Trend Deep Discovery NDR hängt die Auswahl von zwei Parametern ab: der Spitzenrate des zu überwachenden Verkehrs und der Zahl der täglich zu analysierenden verdächtigen Dateien. Die Hardwaremodelle von Deep Discovery Inspector bieten zwischen 500 Mbps und 40 Gbps Inspektionsdurchsatz und unterstützen je nach Modell 2 bis 40 gleichzeitige Sandbox-Instanzen (Virtual Analyzer); die Virtual-Appliance-Variante wird in den Kapazitäten 100, 250, 500 und 1.000 Mbps angeboten und läuft auf VMware vSphere 5 und höher oder auf KVM (Deep Discovery Inspector Datasheet, 2024).

Die Virtual-Appliance-Variante ist ein praktischer Einstieg für Organisationen, die einen Pilot ohne Hardwareinvestition durchführen wollen; in diesem Modell erfolgt die Sandbox-Analyse über das Add-on Sandbox as a Service in der Cloud (Deep Discovery Inspector Datasheet, 2024). Organisationen, die verdächtige Dateien nicht aus dem eigenen Netz herauslassen wollen, empfehlen wir dagegen die Hardwareinstallation, bei der die Analyse in den lokalen Virtual-Analyzer-Instanzen auf dem Gerät bleibt. Die Kapazitätsentscheidung treffen wir nicht auf Basis von Annahmen, sondern anhand einer Spitzenlastmessung in den zu überwachenden Segmenten; ist der SPAN-Port selbst der Engpass, empfehlen wir den Einsatz eines TAP oder eines Aggregations-TAP.

Welche Rolle übernimmt Deep Discovery innerhalb von Trend Vision One?

Die Rolle des Netzwerksensors. Trend Vision One verfügt über sechs native Sicherheitssensoren: Endpunkt, Cloud, E-Mail, Netzwerk, Server und Identität (Trend Micro Newsroom, 2025), und Trend Deep Discovery NDR speist den Netzwerkteil dieser sechs. Ein eigenständiges NDR-Produkt sagt Ihnen "diese Adresse spricht mit jener Adresse"; die XDR-Korrelation verbindet dasselbe Ereignis damit, welcher Benutzer welchen E-Mail-Anhang geöffnet hat, welcher Prozess auf welchem Server gestartet wurde und welche Identität dabei verwendet wurde.

Diese Korrelation hat ein gemessenes Gegenstück: In der im Dezember 2024 veröffentlichten Runde der MITRE ATT&CK Evaluations erreichte Trend Vision One in allen großen Angriffsschritten 100 % und in allen Teilschritten 99 % analytische Abdeckung (Trend Micro Newsroom, 2024). Die Agentic-SIEM-Komponente der Plattform wurde am 1. August 2025 verfügbar, unterstützt mehr als 900 Datenquellen und bietet eine Datenaufbewahrung von bis zu 2 Jahren für Analytik und bis zu 7 Jahren im Archiv (Trend Micro Newsroom, 2025). Die von Deep Discovery erzeugten Netzwerkereignisse fließen in diese Aufbewahrungs- und Abfrageschicht; damit ist auch der Bedarf an Audit und nachträglicher Untersuchung gedeckt.

Auf Analystenseite wurde Deep Discovery Inspector in der Bewertung Forrester Wave Network Analysis and Visibility Q2 2023 als Leader positioniert und im Gartner Market Guide for Network Detection and Response 2024 als Representative Vendor geführt (Deep Discovery Inspector Datasheet, 2024). Die Plattform als Ganzes können Sie auf der Seite zur XDR-Plattform Trend Vision One und die übrigen Komponenten auf der Seite zur Trend-Micro-Lösungsfamilie nachlesen.

Wie ist die Arbeitsteilung zwischen TippingPoint, Deep Security und Deep Discovery?

Die drei erfüllen nicht dieselbe Aufgabe, sondern ergänzen einander als Schichten. TippingPoint steht im Datenpfad und blockiert, Deep Security steht im Server und schützt den Workload, Deep Discovery steht neben dem Datenpfad und sieht. Dass eine mittlere oder große Organisation alle drei benötigt, ist keine Ausnahme, sondern die typische Architektur.

Für die Präventionsschicht können Sie die Seite zum Next-Gen IPS TippingPoint und für die Server- und Cloud-Workload-Schicht die Seite zum Serverschutz Deep Security heranziehen. Gemeinsame Intelligence-Quelle dieser drei Produkte ist die Trend Zero Day Initiative: Die ZDI hat seit 2007 mehr als 15.000 Sicherheitslücken koordiniert offengelegt, und mehr als 19.000 unabhängige Forschende tragen zum Programm bei (Zero Day Initiative — About, 2026). Die Antwort auf die Frage, warum ein im Netzwerk gesehener Exploit-Versuch überhaupt erkannt wird, liegt zu einem großen Teil in dieser Forschungskette.

Warum sollten E-Mail-Sicherheit und Netzwerkerkennung gemeinsam positioniert werden?

Weil ein gezielter Angriff meist per E-Mail beginnt und im Netzwerk weitergeht. Laut ENISA Threat Landscape 2025 ist Phishing in Europa mit 60 % mit deutlichem Abstand der häufigste initiale Zugriffsvektor, gefolgt von der Ausnutzung von Schwachstellen mit 21,3 % (ENISA Threat Landscape 2025, 2025). Derselbe Bericht untersuchte im Zeitraum vom 1. Juli 2024 bis 30. Juni 2025 insgesamt 4.875 Vorfälle mit Ziel EU und hielt fest, dass 53,7 % der Vorfälle wesentliche Einrichtungen im Sinne der NIS2-Richtlinie betrafen (ENISA Threat Landscape 2025, 2025).

Ein Anhang, der auf der E-Mail-Ebene nicht abgefangen wird, verrät sich auf der Netzwerkebene durch seinen Rückrufverkehr. Der E-Mail- und Collaboration-Schutz von Trend erkannte und blockierte im Jahr 2024 insgesamt 57 Millionen hochriskante E-Mail-Bedrohungen; das entspricht einem Anstieg um 27 % gegenüber 45 Millionen im Jahr 2023 (Trend 2025 Cyber Risk Report, 2025). Organisationen, die beide Schichten gemeinsam aufsetzen wollen, empfehlen wir, auch den Umfang von Trend Email Security zu prüfen; eine in der E-Mail gestoppte Bedrohung erzeugt keinen Vorfall, der im Netzwerk untersucht werden muss.

Welchen Anforderungen von KVKK und PCI DSS entspricht Deep Discovery?

Trend Deep Discovery NDR liefert unmittelbar in zwei Punkten eine Entsprechung: Angriffserkennung und Protokollaufzeichnung. Im Leitfaden zur Sicherheit personenbezogener Daten (Technische und organisatorische Maßnahmen) der KVKK (türkisches Datenschutzgesetz) werden "Angriffserkennungs- und -präventionssysteme" sowie "Protokollaufzeichnungen" ausdrücklich unter den technischen Maßnahmen aufgeführt, die der Verantwortliche ergreifen kann (KVKK-Leitfaden zur Sicherheit personenbezogener Daten). Derselbe Leitfaden hält fest, dass die Auffassung, mit einem einzigen Cybersicherheitsprodukt lasse sich vollständige Sicherheit erreichen, nicht immer zutrifft, und empfiehlt mehrschichtige, regelmäßig überprüfte Maßnahmen.

Auf Seiten von PCI DSS v4.0 ist der Bezug noch deutlicher. Anforderung 11.5.1 verlangt, dass Techniken zur Angriffserkennung und/oder -prävention den gesamten Verkehr am Perimeter der Karteninhaberdatenumgebung (CDE) und an kritischen Punkten innerhalb der CDE überwachen und dass Signaturen sowie Baselines aktuell gehalten werden; 11.5.1.1 macht für Dienstleister die Erkennung verdeckter schädlicher Kommunikationskanäle seit dem 31. März 2025 verpflichtend (PCI Security Standards Council, PCI DSS v4.0). Die Erkennung verdeckter Kanäle und von Command-and-Control-Kommunikation durch Deep Discovery positioniert sich genau als Entsprechung dieser Anforderung.

In der Türkei ist die häufigste Frage, die uns in Finanz-, Verwaltungs-, Gesundheits- und Fertigungsorganisationen gestellt wird, wohin die Daten gehen. Bei Organisationen, die verdächtige Samples nicht aus dem eigenen Netz herauslassen wollen, bleiben wir im lokalen Analysemodus auf dem Gerät und aktivieren die Cloud-Sandbox ausschließlich mit ausdrücklicher Zustimmung des Unternehmens. Aufbewahrungsdauer der Protokolle, das in einer KVKK-Prüfung anforderbare Reporting und die Incident-Response-Prozedur werden im Rahmen der Inbetriebnahme gemeinsam definiert; das sind keine nachträglich ergänzten Punkte, sondern Themen, die am ersten Projekttag entschieden werden.

Wie führt Sora Yazılım ein Deep-Discovery-Projekt durch?

In vier Phasen: Verkehrserhebung, Dimensionierung, Inbetriebnahme und Betrieb. Zuerst ermitteln wir, welche Segmente überwacht werden, wie hoch das Spitzenverkehrsvolumen ist und welche SPAN-/TAP-Infrastruktur vorhanden ist; anschließend legen wir Kapazitätsmodell, Sandbox-Image und Platzierungspunkte fest.

In der Inbetriebnahmephase wird das Golden Image des Unternehmens in die Sandbox übernommen, in der ersten Woche erfolgt ein Tuning zur Rauschreduzierung und der Ereignisstrom wird an die XDR-Konsole angebunden. Sind Änderungen an Netzarchitektur, Virtualisierung oder Monitoring-Infrastruktur erforderlich, führt dasselbe Projektteam diese im Rahmen unserer DevOps- und Infrastrukturdienstleistungen durch. In der Betriebsphase liefern wir eine monatliche Erkennungsübersicht, Engine- und Signaturupdates, Versions-Upgrades und Unterstützung bei der Incident Response.

Sora Yazılım ist autorisierter Channel-Partner von Trend Micro; Lizenzierung, Dimensionierung, Installation und KVKK-konformer Betrieb von Deep Discovery erfolgen aus einer Hand. Der Enterprise-Security-Geschäftsbereich des Herstellers arbeitet mit 6.000 Fachleuten in 75 Ländern (Trend Micro Newsroom, 2026); über diese Struktur laufen Herstellersupport und Eskalationskette.

Zusammenfassung: Trend Deep Discovery NDR hört den Netzwerkverkehr passiv mit und erkennt in mehr als 100 Protokollen gezielte Angriffe, laterale Bewegung und Datenabflussverhalten; mit der unternehmensspezifischen Sandbox bringt es Schadsoftware ans Licht, die Standard-Analyseumgebungen ausweicht, und es bindet sich als Netzwerksensor an Vision One an. Lassen Sie uns gemeinsam ermitteln, in welchen Segmenten Ihres Netzwerks Sichtbarkeitslücken bestehen. Da Kapazitätsmodell, Sandbox-Design und Lizenzposten vom überwachten Verkehrsvolumen und von der Abonnementlaufzeit abhängen, erstellen wir statt einer Standardpreisliste ein projektspezifisches Angebot — fordern Sie ein Angebot an, und unsere Ingenieurinnen und Ingenieure melden sich nach Prüfung Ihrer Netztopologie mit einem SPAN-/TAP-Plan und einem Dimensionierungsvorschlag.