Intelligente Verhaltensanalyse
Sicherheit auf die clevere Art
Das Katz-und-Maus-Spiel rund um die IT-Sicherheit nimmt kein Ende. Es scheint, als würde sich für jede geschlossene Sicherheitslücke an anderer Stelle eine neue auftun. Damit zeigt sich zugleich, dass die herkömmliche, rein Signatur- und Regel-basierte Herangehensweise an ihre Grenzen gekommen ist.
Schließlich lassen sich mit ihr in der Regel nur die Auswirkungen minimieren. Denn ein Virus oder Malware kommt nicht zufällig auf den Rechner, sondern ein unachtsamer Mitarbeiter hat den falschen E-Mail-Anhang angeklickt – oder aber sich auf einem gefälschten Webportal mit den richtigen Zugangsdaten versucht anzumelden und damit den Hackern die Schlüssel in die Hände gelegt.
In der Tat betrachten IT-Verantwortliche heute den unvorsichtigen Mitarbeiter als die größte Herausforderung für die Sicherheit. Das bestätigt auch eine Studie von IDC im Auftrag von Splunk. Dabei sind 400 Unternehmen in Europa mit dem Ziel befragt worden, einen Überblick über hilfreiche Aktionen gegen Cyber-Angriffe zu geben.
Die meisten Firmen verfügen über keinerlei Mechanismen, mit denen sich derart bedenkliche Benutzeraktivitäten erkennen lassen. Nur etwa 12 Prozent der Unternehmen setzen Analysen des Benutzerverhaltens ein, um Anomalien zu erkennen. Rund ein Drittel nutzt keine grundlegenden Verfahren, mit denen sich Verstöße gegen die Sicherheitsrichtlinien erkennen lassen. Abgesehen davon wissen 40 Prozent nicht einmal, wonach sie suchen müssten. Dicht gefolgt davon gaben 39 Prozent der Befragten an, über kein geschultes Personal für diese Aufgabe zu verfügen. Immerhin 36 Prozent wissen nicht einmal, wie der Normalzustand in den Abteilungen aussieht.
Klassische Sicherheitsmethoden dominieren
Fast alle Unternehmen verwenden Firewall- und Virenschutztechnologien, zwei Drittel setzen auf Identitäts- und Zugriffsverwaltung. Weniger als 20 Prozent verwenden forensische Systeme oder Systeme zur Untersuchung von Vorfällen oder Tools zur Sicherheitsanalyse. Und auch wenn 54 Prozent der Unternehmen Lösungen für Sicherheitsinformations- und Ereignismanagement (SIEM) einsetzen, werden diese meist nur als reaktive Technologie zur Berichterstattung implementiert. Damit zeigt die IDC-Studie deutlich, dass Unternehmen in Europa nach wie vor von einer Präventions- und Schutzmentalität geprägt sind, die auf traditionellen Sicherheitsmodellen basiert. Nach Ansicht der Analysten benötigen die Unternehmen ein besser ausbalanciertes Sicherheitskonzept, dessen Fokus eher auf Erkennen und Reagieren liegt.
Das zeigt, dass ein leistungsstarkes System, mit dem sich das Benutzerverhalten in Echtzeit überwachen lässt, die Lösung sein kann. Nur so können Aktionen rechtzeitig gestoppt werden, bevor ein Schaden verursacht wird. Behavior Analytics lautet das Verfahren, mit dem aktuelle Lösungen wie Splunk Enterprise oder Splunk User Behavior Analytics (UBA) das Verhalten der Mitarbeiter dechiffrieren können. Das Vorgehen dabei: Grundsätzlich generiert jede digitale Aktivität einen Eventeintrag. Dabei kann es sich um den Zugriff auf eine E-Mail handeln, das Aufrufen eines CRM-Tools oder einen Eintrag im Reisekostensystem der Personalabteilung. Auf diese Weise lässt sich der komplette Strom der digitalen Daten konsolidieren, speichern und analysieren. Das Ziel der Behavior Analytics ist in diesem Fall, sogenannte Outlier – Abweichungen von einem automatisch gelerntem Normalverhalten – zu erkennen.
Dabei ist die Kontrolle der Ergebnisse durch den Sicherheitsverantwortlichen im Security Operation Center (SOC) weiterhin ein wichtiger Faktor. Denn wenn der Zugriff auf das Firmennetz jeweils automatisch gesperrt würde, wäre das bei falschen Resultaten unter Umständen verheerend. Der Vorteil der Lösungen für die Mitarbeiter im SOC besteht folglich eher darin, dass Informationen konsolidiert dargestellt werden. So lassen sich Entscheidungen wesentlich effizienter und in kürzerer Zeit treffen. Da neben der E-Mail-Adresse auch die Telefonnummer der Angestellten vorliegen, kann der Sicherheitsbeauftragte sich im Zweifelsfall per Anruf rückversichern, ob der Alarm stimmt. Etwa mit der Frage, ob der betroffene Mitarbeiter gerade wirklich von China aus auf die Unternehmensdaten zugreift.
- Sicherheit auf die clevere Art
- Erst lernen, dann schützen
Lesen Sie mehr zum Thema
