Wir haben zu viele Fehlalarme. Wie stimmen wir ab, ohne echte Angriffe zu übersehen?
Stimmen Sie eng ab und führen Sie Buch: Schließen Sie eine bestimmte bekannte Aktivität auf einem bestimmten Host aus, nie eine ganze Alarmart im ganzen Netz. Beginnen Sie mit den häufigsten Alarmen. Klären Sie für jeden die Ursache, zum Beispiel den Backup-Server, der jede Nacht auf das Speichersystem kopiert, und markieren Sie genau dieses Verhalten als erwartet, möglichst mit Host, Ziel und Zeitfenster. Lassen Sie die übrige Erkennung unverändert, damit dasselbe Muster von jedem anderen Host weiterhin alarmiert. Halten Sie fest, wer warum entschieden hat, und prüfen Sie Ausnahmen alle paar Monate, denn eine vergessene Ausnahme ist ein Versteck für Angreifer. Testen Sie nach der Abstimmung: Führen Sie einen harmlosen Scan oder einen Testanruf nach außen aus und prüfen Sie, ob weiterhin ein Alarm entsteht. In NetSenX markieren Sie Fehlalarme direkt am Alarm, jede Entscheidung landet im Audit-Log, und die Fehlalarmgrenze wird erst angezeigt, wenn Ihre markierten Daten sie tragen.
Weiterlesen
Verwandte Fragen
- Wie lange dauert es, bis ein neues Sicherheitswerkzeug ruhiger wird?
- Wie viel Zeit braucht ein kleines Team für den Betrieb von NDR?
- Wie viel sollte ein kleines Unternehmen für Cybersicherheit ausgeben?
- Bei welchen Sicherheitsausgaben sollte ein kleines Unternehmen nie sparen?
- Wie berechne ich die Kosten eines Tages IT-Ausfall?
← Alle 25 Fragen zu Budget, Personal und AlarmflutAlle Themen