Aktive Bedrohungssuche prüft Protokolle und Systeme gezielt auf Eindringlinge, die automatische Alarme zuvor nicht gezeigt haben.
Suchende beginnen mit einer Annahme und einem Zeitrahmen und machen bestätigte Funde zur nächsten Erkennung.
So funktioniert es
Die Annahme ist, dass manche Einbrüche im normalen Betrieb verschwinden und nie einen Alarm auslösen.
Analysten suchen seltene Werkzeuge, ungewöhnliche Anmeldungen und Datenbewegungen außerhalb der erwarteten Muster.
Eine Suche, die Erkennungen nie nachzieht, wird zur dauernden Handarbeit.
Der Protokollweg selbst muss geschützt sein, sonst kann ein Eindringling die Spuren löschen, welche die Suche braucht.
Konkrete Beispiele
- Eine Analystin sucht auf Servern ein Fernwartungswerkzeug, das die Firma nicht einsetzt.
- Eine suchende Person prüft privilegierte Anmeldungen aus einem Land, das das Konto nie nutzte.
- Ein Team sucht Archivdateien, die außerhalb des normalen Sicherungsfensters entstanden.
Schutzmaßnahmen
- Halten Sie zentrale Protokolle lange genug, damit eine Annahme wirklich durchsucht werden kann.
- Schreiben Sie Annahme und Zeitrahmen auf, bevor die Suche beginnt.
- Machen Sie einen bestätigten Fund zu einer Erkennung, damit er nicht dauerhaft von Hand gesucht wird.
- Schützen Sie den Protokollweg, damit ein Eindringling die Aufzeichnung nicht still löschen kann.