Was sollte jeder Sicherheitsalarm enthalten?
Genug, um ohne Detektivarbeit zu handeln: welcher Host und welches Konto, was beobachtet wurde, wann es begann, warum es für diesen Host ungewöhnlich ist, wie sicher sich das Werkzeug ist und was als Nächstes zu prüfen ist. Ein guter Alarm sagt auch, wo die Belege liegen, etwa welche Verbindungen betroffen sind, damit der Leser ihn bestätigen kann, und welche anderen Alarme zur selben Geschichte gehören. Ein Alarm, der nur einen Regelnamen oder einen Wert nennt, schickt den Analysten zurück zu den Rohdaten, und in einem kleinen Team heißt das meist, dass er ignoriert wird. Lassen Sie sich bei der Bewertung eines Werkzeugs drei echte Alarme geben und reichen Sie sie an die Person weiter, die sie um 8 Uhr lesen würde: Könnte sie in fünf Minuten entscheiden, ob eskaliert wird? Jeder NetSenX-Alarm enthält in jedem Plan eine verständliche Erklärung, warum er ausgelöst wurde und welche Netzwerkmerkmale seinen Wert bestimmt haben, und das Audit-Log hält fest, was damit geschah und durch wen.
Weiterlesen
Verwandte Fragen
- Welche Falsch-Positiv-Rate ist bei NDR realistisch?
- Wir haben zu viele Fehlalarme. Wie stimmen wir ab, ohne echte Angriffe zu übersehen?
- Wie lange dauert es, bis ein neues Sicherheitswerkzeug ruhiger wird?
- Wie viel Zeit braucht ein kleines Team für den Betrieb von NDR?
- Wie viel sollte ein kleines Unternehmen für Cybersicherheit ausgeben?
← Alle 25 Fragen zu Budget, Personal und AlarmflutAlle Themen