Cybersecuritytools detecteren, voorkomen en onderzoeken aanvallen. De categorie omvat endpointbescherming en detectie en respons, SIEM en loganalyse, kwetsbaarhedenscans, e-mail- en webbeveiliging en threat intelligence. Securityteams gebruiken ze om de omgeving te bewaken, meldingen te beoordelen en incidenten af te handelen, vaak met hulp van een beheerde dienst. CrowdStrike, Palo Alto Networks en Microsoft Defender zijn gangbare referentiepunten.
Beveiligingstooling heeft verregaande rechten: een endpointagent draait met hoge bevoegdheden op elk apparaat en cloudconsoles kunnen machines isoleren of op afstand opdrachten uitvoeren. Daardoor maakt de leverancier deel uit van uw aanvalsoppervlak en is het updatekanaal een supplychainrisico. Telemetrie verlaat bovendien uw netwerk en kan bestandsnamen, gebruikersnamen en commandoregels bevatten. Wisselen betekent meestal agents op elke machine vervangen.
Vraag bij een Europese optie welke telemetrie wordt verstuurd, waar die wordt verwerkt en hoe lang ze wordt bewaard, of detectie ook offline of on-premise werkt en hoe de leverancier de eigen build- en updatepijplijn beveiligt. Let op gedocumenteerde onafhankelijke evaluaties, open interfaces om meldingen naar uw eigen SIEM door te sturen en exporteerbare detectieregels en logs. De Europese Commissie noemt betrouwbare ICT-toeleveringsketens als beleidsprioriteit.