Erkennung und Analyse: Reale Sicherheitsvorfälle identifizieren

Die Phase der Erkennung und Analyse beginnt, sobald ein potenzieller Sicherheitsvorfall erstmals erkannt wird, und endet, wenn Umfang und Auswirkungen ausreichend bekannt sind, um mit der Eindämmung zu beginnen. Die zentrale Herausforderung in dieser Phase besteht darin, echte positive von falschen positiven Ergebnissen zu unterscheiden — also eine durch bösartige Aktivitäten ausgelöste Warnung von einer Warnung, die durch normales, aber ungewöhnliches Verhalten ausgelöst wurde. Eine effektive Erkennung erfordert korrekt konfigurierte Tools, geschulte Analysten und dokumentierte Baselines für normales Verhalten.

Vorfälle werden über mehrere Kanäle erkannt: SIEM-Warnungen, die durch Korrelationsregeln erzeugt werden, EDR-Erkennungen aus der Verhaltensanalyse auf Endgeräten, Benutzermeldungen (die häufigste erste Erkennung bei Phishing), Benachrichtigungen durch Dritte (Strafverfolgungsbehörden, Anbieter von Threat Intelligence oder Diensten zur Meldung von Sicherheits breaches), automatisierte Scans (Schwachstellenscanner oder CSPM, die Anomalien finden) sowie Threat Hunting (proaktive Untersuchung). Jede Quelle weist eine andere Zuverlässigkeit auf und liefert unterschiedliche Arten von Beweisen.

Eine effektive Erkennung erfordert die Erfassung von Logs aus verschiedenen Quellen. Zu den kritischen Logtypen gehören: Authentifizierungslogs (Windows Security Event Log, /var/log/auth.log) für fehlgeschlagene und erfolgreiche Anmeldungen, Netzwerklogs (Firewall, VPC Flow Logs, Proxy) für ungewöhnliche Verbindungen, DNS-Logs für Abfragen bekannter bösartiger Domains, Endgeräte-Logs (EDR, Sysmon) für Prozesserstellung und Dateiaktivitäten sowie Cloud-Audit-Logs (CloudTrail, Azure Monitor) für API-Aufrufe. Ein SIEM führt diese unterschiedlichen Quellen zusammen und korreliert sie.

SOC-Analysten bewerten täglich Hunderte oder Tausende von Warnungen, von denen die meisten False Positives sind — legitime Aktivitäten, die eine Erkennungsregel ausgelöst haben. Ein False Positive verschwendet die Zeit der Analysten und führt zu Alert Fatigue, wodurch echte Bedrohungen möglicherweise verworfen werden. Ein True Positive steht für tatsächliche bösartige Aktivitäten. Ein False Negative ist das gefährlichste Ergebnis — bösartige Aktivitäten, die überhaupt keine Warnung ausgelöst haben. Die Feinabstimmung von Erkennungsregeln, um False Positives zu reduzieren, ohne False Negatives zu erhöhen, gehört zu den zentralen Fähigkeiten im SOC.

SIEM-Korrelationsregeln kombinieren mehrere einzelne Logereignisse, um Muster zu erkennen, die auf Angriffe hindeuten. Beispiel: Eine fehlgeschlagene Anmeldung ist normal; 100 fehlgeschlagene Anmeldungen von derselben IP-Adresse innerhalb von 60 Sekunden deuten auf Brute Force hin. Ein weiteres Beispiel: Wenn sich ein Benutzer um 9 Uhr aus den USA und um 11 Uhr aus China authentifiziert, handelt es sich um Impossible Travel — wahrscheinlich ist das Konto kompromittiert. Effektive Korrelationsregeln schaffen ein ausgewogenes Verhältnis zwischen Sensitivität (echte Angriffe erkennen) und Spezifität (Analysten nicht mit Rauschen überfluten).

Während der Analyse erfassen die Einsatzkräfte Indicators of Compromise (IoCs), die den Angriff charakterisieren: verdächtige IP-Adressen, bösartige Domainnamen, Datei-Hashes von Malware, vom Angreifer geänderte Registry-Schlüssel, ungewöhnliche Prozessnamen oder Eltern-Kind-Beziehungen sowie anomale Netzwerkverbindungen. IoCs werden verwendet, um den Umfang zu bestimmen (ist dieser IoC auf anderen Systemen vorhanden?), Threat Intelligence anzureichern, weiteren Zugriff des Angreifers zu blockieren und SIEM-Regeln zu entwickeln, die ähnliche Aktivitäten künftig erkennen.

Die Umfangsanalyse beantwortet folgende Fragen: Welche Systeme sind betroffen? Auf welche Daten wurde zugegriffen oder welche Daten wurden exfiltriert? Wie und wann ist der Angreifer eingedrungen? Die Einsatzkräfte analysieren Logs, um die Angriffschronologie zu rekonstruieren, den ursprünglichen Zugriffsvektor zu identifizieren, alle Systeme aufzulisten, die der Angreifer berührt hat (laterale Bewegung), und festzustellen, ob Daten exfiltriert wurden (Spitzen bei ausgehenden Übertragungen, Verzeichnisse zur Datenbereitstellung). Die Umfangsbewertung steuert die Eindämmungsentscheidungen — was nicht erfasst wurde, kann nicht eingedämmt werden.

EDR (Endpoint Detection and Response)-Plattformen sind das wichtigste technische Tool für die Analyse von Vorfällen auf Endgeräten. EDR-Telemetriedaten liefern: Prozessausführungsbäume (was welchen Prozess gestartet hat), Dateisystemaktivitäten, prozessbezogene Netzwerkverbindungen, Registry-Änderungen und die Erkennung von Speicherinjektionen. Während eines Vorfalls können Analysten mit EDR gleichzeitig auf allen Endgeräten nach einem IoC suchen (unternehmensweite Suche), ein kompromittiertes Endgerät vom Netzwerk isolieren und forensische Artefakte abrufen, ohne das System physisch zu berühren.

Netzwerkdaten sind bei der Vorfallsanalyse häufig die zuverlässigste Quelle. NetFlow und VPC Flow Logs zeigen Verbindungen zwischen Systemen, ohne den Inhalt der Nutzdaten anzuzeigen — das ist nützlich, um laterale Bewegungen abzubilden. Vollständige Paketerfassung (PCAP) zeigt den vollständigen Inhalt der Kommunikation einschließlich Zugangsdaten, exfiltrierter Daten und C2-Befehlen (wenn der Datenverkehr nicht verschlüsselt ist). DNS-Abfrageprotokolle zeigen Beaconing von Malware zu C2-Domains. Die Einsatzkräfte suchen nach: großen ausgehenden Datenübertragungen, Verbindungen zu ungewöhnlichen Ports, Beaconing-Mustern (regelmäßige Verbindungen alle N Sekunden) und internem Scanverhalten.

Die Rekonstruktion der Angriffschronologie ist entscheidend, um die Verweildauer zu verstehen (wie lange der Angreifer vor der Erkennung präsent war), den ursprünglichen Zugriffsvektor zu identifizieren (um die Schwachstelle zu schließen) und Beweise für Gerichtsverfahren in chronologischer Reihenfolge zu sichern. Chronologien werden erstellt, indem Zeitstempel aus mehreren Logquellen korreliert werden. Die Zeitsynchronisierung (mit NTP) ist von entscheidender Bedeutung — Logs mit falsch eingestellten Systemuhren erzeugen Lücken und Widersprüche in Chronologien, die forensische Schlussfolgerungen beeinträchtigen.

Nicht jede Warnung erfordert die vollständige Aktivierung des CSIRT. Analysten verwenden dokumentierte Kriterien, um Eskalationsauslöser zu bestimmen: Die Feststellung einer bestätigten Datenschutzverletzung löst verpflichtende Meldungen an Aufsichtsbehörden und eine Eskalation an die Geschäftsleitung aus. Die Feststellung von Malware, die sich über ein einzelnes System hinaus verbreitet hat, löst die vollständige Einbindung des CSIRT aus. Eine einzelne Phishing-E-Mail (ohne Klick) bleibt auf der Ebene eines Analysten der Stufe 1. Klar definierte Eskalationsschwellen verhindern sowohl Überreaktionen (Ressourcenverschwendung durch geringfügige Ereignisse) als auch unzureichende Reaktionen (während schwerwiegende Datenschutzverletzungen als geringfügige Warnungen behandelt werden und weiter anwachsen).

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Die Erkennung stützt sich auf verschiedene Protokollquellen, die von einem SIEM mit Korrelationsregeln zusammengeführt werden, um Angriffsmuster aus mehreren Ereignissen zu erkennen, während der Analyse erfasste IoCs werden verwendet, um den Vorfall auf alle Systeme auszuweiten und Blockierungsregeln zu entwickeln, und False Negatives sind das gefährlichste Ergebnis, weil sie Angreifern unentdeckte Aktivitäten ermöglichen. Als Nächstes befassen wir uns mit Eindämmung, Beseitigung und Wiederherstellung.