Übersehen regelbasierte Sicherheitswerkzeuge neue Angriffswege?
Oft ja, konstruktionsbedingt. Eine Regel beschreibt etwas bereits Bekanntes: einen Datei-Hash, eine Domain, eine Abfolge von Ereignissen, die jemand schon gesehen hat. Sie ist präzise und günstig und wirkt gut gegen Massen-Schadsoftware. Sie versagt, wenn Angreifer ein Detail ändern, legitime Werkzeuge nutzen oder einen Weg durch Ihr Netz nehmen, für den niemand eine Regel geschrieben hat, etwa über einen neuen Server, ein vergessenes Lieferantenkonto oder eine ungewöhnliche Kette von Sprüngen. Verhaltensbasierte Erkennung stellt eine andere Frage: Tut dieser Host etwas, was er im Vergleich zu seiner eigenen Geschichte und zu vergleichbaren Hosts noch nie getan hat? Sie findet neue Wege, braucht aber Zeit, um das Normale zu lernen, und ihre Alarme erfordern Urteilsvermögen. Ausgereifte Umgebungen kombinieren beides. NetSenX erkennt Verhalten im Netz, etwa Beaconing, Scans, laterale Bewegung und ungewöhnliche ausgehende Mengen, und erklärt jeden Alarm, damit Sie einen neuen Angriffsweg von einem neuen Geschäftsprozess unterscheiden können.
Weiterlesen
Verwandte Fragen
- Warum sollte ein Drucker unser Netz scannen, und können Drucker andere Rechner angreifen?
- Wie stoppen wir einen Angreifer, der schon in unserem Netz ist?
- Wie schnell bewegen sich Angreifer, wenn sie einmal drin sind?
- Woran erkennen wir, ob der Rechner für das Online-Banking infiziert ist?
- Woran würden wir merken, dass unsere ERP-Datenbank aus dem Unternehmen kopiert wurde?