Fraunhofer FKIE
Mit PA-SIEM dem Datenklau auf der Spur
Fortsetzung des Artikels von Teil 1
Die Forscher setzen auf einen dreistufigen Prozess
Zuerst sammelt die SIEM-Software wie bisher die Ereignismeldungen der einzelnen Arbeitsplatz-PCs und Server.
Im zweiten Schritt durchsuchen spezielle Algorithmen die Ereignismeldungen auf bekannte Hinweise sowie auf Anomalien, also auf Abweichungen vom üblichen Verhalten. Die Suchergebnisse können auf einen Einbruch hinweisen, aber nicht zwangsläufig. Sendet ein PC plötzlich auffällig viele Daten ins Internet, so kann es sich dabei um einen Einbruch handeln – oder aber der Mitarbeiter schickt lediglich außergewöhnlich große Dokumente an einen Kunden.
Systeme, die solche Anomalien erkennen, gibt es bereits. Allerdings haben sie meist eine hohe Falsch-Positiv-Rate. Selbst wenn diese nur bei einem Promille liegt – also eine von tausend Meldungen fälschlicherweise als Bedrohung gesehen wird – laufen bei den Computerexperten je nach Größe des Unternehmens schnell mehrere Tausend Alarme pro Tag auf.
Jobangebote+ passend zum Thema
Der letzte Schritt macht den Unterschied
Laut Uetz liegt der Clou im dritten Schritt: »Wir kombinieren die Hinweise und können die Fehlerrate somit stark senken«, erläutert Uetz.
Ein vereinfachtes Zahlenbeispiel erläutert das: Bei einem Ereignis, das zu neunzig Prozent durch einen Angriff ausgelöst wurde, läge die Falsch-Positiv-Rate bei zehn Prozent. Werden zwei solcher Meldungen hintereinander gereiht – kommt also etwa eine E-Mail mit einem PDF-Anhang an und steigt später die ins Internet gesendete Datenmenge – sinkt die Rate bereits auf ein Prozent – also auf zehn Prozent von zehn Prozent. Bei einer Dreier-Verknüpfung sogar auf 0,1 Prozent.
Bei diesen Ereigniskette sprechen Experten von der »Intrusion Kill Chain«. Auch im Bundestag gab es eine solche Ereigniskette: Eine Spear-Phishing-E-Mail installierte eine Schadsoftware. Die spähte anschließend Benutzernamen und Passwörter von Administratoren aus und bereitete den Angreifern den Weg, um Daten zu klauen, zu löschen oder zu manipulieren. Doch mit der Software PA-SIEM wäre dies deutlich schneller aufgefallen.
- Mit PA-SIEM dem Datenklau auf der Spur
- Die Forscher setzen auf einen dreistufigen Prozess
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
Lernlabor Cybersicherheit
Fraunhofer Academy zeigt, wie Hacker arbeiten
Cyber-Security
VDE richtet Austausch-Plattform zu Security-Vorfällen ein
