So, dass es vom Normalen abweicht und deshalb Aufmerksamkeit verdient.
„Besonders auffällig war, dass sich der Benutzer innerhalb von zehn Minuten an zwölf verschiedenen Servern angemeldet hat.“
Nicht so, wie es normalerweise ist oder wie man es erwartet.
„Für einen Rechner in der Buchhaltung ist eine SSH-Verbindung zu einem externen Server sehr ungewöhnlich.“
die AuffälligkeitPl.: AuffälligkeitenB1-B2
Etwas, das von den normalen Abläufen abweicht und genauer geprüft werden sollte.
„Bitte trag jede Auffälligkeit ins Ticket ein, auch wenn du sie am Ende für harmlos hältst.“
die ReaktionszeitPl.: ReaktionszeitenB1-B2
Die Zeit zwischen einem Alarm und der ersten Reaktion des Teams darauf.
„Laut Vertrag beträgt unsere Reaktionszeit bei kritischen Alarmen höchstens 30 Minuten.“
das EndgerätPl.: EndgeräteB1-B2
Ein Gerät, mit dem Beschäftigte direkt arbeiten, zum Beispiel ein Laptop, ein PC oder ein Smartphone.
„Die EDR-Lösung hat auf einem Endgerät in der Personalabteilung ein verdächtiges Makro blockiert.“
der AnmeldeversuchPl.: AnmeldeversucheB1-B2
Der Versuch, sich mit Benutzername und Passwort bei einem System anzumelden.
„Innerhalb einer Stunde gab es am VPN-Portal über 400 fehlgeschlagene Anmeldeversuche.“
das EreignisPl.: EreignisseB1-B2
Ein einzelner Vorgang, den ein System in seinen Logs festhält, zum Beispiel eine Anmeldung.
„Das SIEM verarbeitet jeden Tag mehrere Millionen Ereignisse, aber nur wenige davon führen zu einem Alarm.“
der TrefferPl.: TrefferB1-B2
Ein Ergebnis, bei dem Daten genau zu einer Suche, einer Regel oder einem bekannten Angriffsmerkmal passen.
„Die Suche nach den Indikatoren aus der Warnmeldung hat zwei Treffer ergeben, beide auf demselben Laptop im Vertrieb.“
die KorrelationsregelPl.: KorrelationsregelnB2
Eine Regel im SIEM, die mehrere Ereignisse aus verschiedenen Quellen verbindet und daraus einen Alarm erzeugt.
„Die neue Korrelationsregel schlägt erst an, wenn auf mehrere fehlgeschlagene Anmeldungen eine erfolgreiche von derselben IP-Adresse folgt.“
die LogquellePl.: LogquellenB2
Ein System, das seine Protokolldaten an das SIEM schickt, zum Beispiel eine Firewall oder ein Server.
„Bevor wir den Use Case aktivieren, müssen die Proxy-Server als Logquelle angebunden sein.“
der SchwellenwertPl.: SchwellenwerteB2
Eine festgelegte Grenze; wird sie überschritten, erzeugt das System einen Alarm.
„Wir haben den Schwellenwert von fünf auf zwanzig fehlgeschlagene Anmeldungen pro Minute erhöht.“
der IndikatorPl.: IndikatorenB2
Ein technisches Merkmal wie eine IP-Adresse oder ein Hashwert, das auf einen Angriff hinweisen kann.
„Aus dem Bericht des Herstellers haben wir 35 Indikatoren übernommen und gegen die Logs der letzten 30 Tage geprüft.“
der AnwendungsfallPl.: AnwendungsfälleB2
Ein beschriebenes Angriffsszenario, für das man im SIEM eine passende Erkennung baut; oft auch „Use Case“ genannt.
„Für den Anwendungsfall „Datenabfluss über Cloud-Speicher“ fehlen uns noch die Logs des Proxys.“
die FehlalarmquotePl.: FehlalarmquotenB2
Der Anteil der Alarme, hinter denen sich bei der Prüfung keine echte Bedrohung zeigt.
„Seit wir die Regel überarbeitet haben, ist die Fehlalarmquote von 80 auf 35 Prozent gesunken.“
die AusnahmeregelPl.: AusnahmeregelnB2
Eine Regel, die bestimmte bekannte und harmlose Vorgänge von der Alarmierung ausnimmt.
„Für den Backup-Server haben wir eine Ausnahmeregel eingerichtet, die bis Ende März befristet ist.“
die ErkennungsratePl.: ErkennungsratenB2
Der Anteil der tatsächlichen Angriffe, die ein System richtig erkennt.
„Bei der letzten Angriffssimulation lag die Erkennungsrate noch unter 60 Prozent.“
Wie gut ein Team erkennen kann, was in Systemen und Netzwerken gerade passiert.
„Ohne die Logs der Cloud-Umgebung haben wir dort praktisch keine Sichtbarkeit.“
die AbdeckungPl.: AbdeckungenB2
Der Umfang, in dem Systeme oder bekannte Angriffstechniken von der Überwachung erfasst werden.
„Mit den neuen Regeln verbessern wir die Abdeckung bei Angriffen auf das Active Directory deutlich.“
Eine Regel oder Einstellung genauer machen, damit sie zuverlässiger funktioniert.
„Die Regel für verdächtige PowerShell-Befehle müssen wir nachschärfen, sonst meldet sie jedes Administrationsskript.“
Bestimmte Alarme absichtlich nicht anzeigen lassen, zum Beispiel weil sie bekannt und harmlos sind.
„Während des geplanten Wartungsfensters unterdrücken wir die Alarme zu Dienstneustarts auf den betroffenen Servern.“
Zwei Dinge miteinander vergleichen, um Übereinstimmungen oder Unterschiede zu finden.
„Wir gleichen die IP-Adressen aus der Warnmeldung mit den Firewall-Logs der letzten zwei Wochen ab.“
die ErkennungslückePl.: ErkennungslückenB2
Ein Bereich, in dem ein Angriff unbemerkt bliebe, weil passende Regeln oder Logs fehlen.
„Bei der Auswertung des Pentests ist eine Erkennungslücke aufgefallen: Das Auslesen von Passwort-Hashes hat keinen einzigen Alarm erzeugt.“
Teste dich: 5 Fragen
Was bedeutet „die Fehlalarmquote“?
Was bedeutet „die Erkennungsrate“?
Was bedeutet „der Schwellenwert“?
Was bedeutet „die Auffälligkeit“?
Was bedeutet „der Anmeldeversuch“?
Diese Wörter als Karteikarten lernen
Kostenlos startenHäufige Fragen
- Was bedeutet „auffällig“?
- So, dass es vom Normalen abweicht und deshalb Aufmerksamkeit verdient.. Beispiel: „Besonders auffällig war, dass sich der Benutzer innerhalb von zehn Minuten an zwölf verschiedenen Servern angemeldet hat.“
- Was bedeutet „ungewöhnlich“?
- Nicht so, wie es normalerweise ist oder wie man es erwartet.. Beispiel: „Für einen Rechner in der Buchhaltung ist eine SSH-Verbindung zu einem externen Server sehr ungewöhnlich.“
- Was bedeutet „die Auffälligkeit“?
- Etwas, das von den normalen Abläufen abweicht und genauer geprüft werden sollte.. Beispiel: „Bitte trag jede Auffälligkeit ins Ticket ein, auch wenn du sie am Ende für harmlos hältst.“