Cybersecurity 101: Was Sie über False Positives und False Negatives wissen müssen

Ein Überblick über Falsch-Positive und Falsch-Negative

Für jeden, der im Bereich der Informationssicherheit tätig ist, ist es wichtig, die Unterschiede zwischen falsch-positiven und falsch-negativen Ergebnissen zu kennen und zu verstehen, wie sie mit der Cybersicherheit zusammenhängen. Und warum? Die Untersuchung von False Positives ist eine Verschwendung von Zeit und Ressourcen und lenkt Ihr Team davon ab, sich auf echte Cyber-Vorfälle (Alarme) zu konzentrieren, die von Ihrem SIEM stammen.

Auf der anderen Seite erhöht das Ausbleiben falsch negativer Ergebnisse (nicht abgefangene Bedrohungen) Ihr Cyber-Risiko, verringert Ihre Fähigkeit, auf diese Angreifer zu reagieren, und kann im Falle einer Datenverletzung zum Ende Ihres Unternehmens führen.

Was sind False Positives?

False Positives sind falsch gekennzeichnete Sicherheitswarnungen, die auf eine Bedrohung hinweisen, obwohl in Wirklichkeit keine vorliegt. Diese falschen/nicht bösartigen Alarme (SIEM-Ereignisse) erhöhen den Lärmpegel für bereits überlastete Sicherheitsteams und können Softwarefehler, schlecht geschriebene Software oder nicht erkannten Netzwerkverkehr enthalten.

Standardmäßig sind die meisten Sicherheitsteams darauf konditioniert, Fehlalarme zu ignorieren. Leider kann diese Praxis, Sicherheitswarnungen zu ignorieren – egal wie trivial sie auch erscheinen mögen –, zu einer „Alarm-Müdigkeit“ führen und dazu, dass Ihr Team tatsächliche, wichtige Warnungen im Zusammenhang mit echten bzw. böswilligen Cyberbedrohungen übersieht (wie es beim Datenleck bei Target der Fall war).

Diese Fehlalarme machen etwa 40 % der Alarme aus, die Cybersecurity-Teams täglich erhalten, und können in großen Unternehmen eine große Belastung und Zeitverschwendung darstellen.

Was sind falsche Negative?

Falsch-negative Bedrohungen sind nicht erkannte Cyber-Bedrohungen, die von Sicherheitstools übersehen werden, weil sie nicht aktiv sind, sehr raffiniert sind (d. h. keine Dateien enthalten oder sich seitlich bewegen können) oder die vorhandene Sicherheitsinfrastruktur nicht über die technischen Möglichkeiten verfügt, diese Angriffe zu erkennen.

Diese fortschrittlichen/versteckten Cyber-Bedrohungen sind in der Lage, Präventionstechnologien wie Next-Gen-Firewalls, Antivirensoftware und Endpoint Detection & Response (EDR)-Plattformen zu umgehen, die auf die Suche nach "bekannten" Angriffen und Malware geschult sind.

Keine Cybersecurity- oder Data Breach Prevention-Technologie kann 100 % der Bedrohungen abwehren, auf die sie trifft. Falschmeldungen gehören zu den 1 % (ungefähr) der bösartigen Malware und Cyber-Bedrohungen, die bei den meisten Präventionsmethoden übersehen werden.

Stärkung Ihrer Cybersecurity-Position

Das Vorhandensein sowohl von Fehlalarmen als auch von Fehlnegativen wirft die Frage auf: Umfasst Ihre Cybersicherheitsstrategie proaktive Maßnahmen? Die meisten Sicherheitsprogramme stützen sich auf präventive und reaktive Komponenten – sie bauen starke Abwehrmechanismen gegen Angriffe auf, von denen diese Tools wissen, dass sie existieren. Proaktive Sicherheitsmaßnahmen umfassen hingegen die Umsetzung von Richtlinien und Verfahren zur Reaktion auf Vorfälle sowie die proaktive Suche nach versteckten bzw. unbekannten Angriffen.

Im Folgenden finden Sie einige einfache Regeln, die Ihnen dabei helfen, Ihren Ansatz zur Cybersicherheit mit einer präventiven, reaktiven und proaktiven Denkweise zu steuern:

• Gehen Sie davon aus, dass Sie angegriffen wurden, und beginnen Sie Ihre offensiven (proaktiven) Initiativen mit dem Ziel, diese Angriffe zu finden. Auf diese Weise versuchen Sie, die Stärke Ihrer Verteidigungs-/Vorbeugungstools zu überprüfen, wobei Sie sich bewusst sind, dass keines dieser Tools zu 100 % effektiv ist.
• Verwenden Sie Tools zur Bestandsermittlung, um die Hosts, Systeme, Server und Anwendungen in Ihrer Netzwerkumgebung zu ermitteln, denn Sie können nicht schützen, was Sie nicht kennen.
• Führen Sie regelmäßige Kompromissbewertungen durch (wir empfehlen mindestens einmal pro Woche) und überprüfen Sie alle in Ihrem Netzwerk befindlichen Ressourcen.
• Definieren Sie Sicherheitsrichtlinien und -verfahren und implementieren Sie Ausbildungs-/Schulungsanforderungen, damit Ihr gesamtes Team weiß, was zu tun ist, wenn Sie eine versteckte Sicherheitslücke entdecken oder, schlimmer noch, Opfer einer Datenverletzung werden.
• Zeit ist Ihr wertvollstes Gut. Daher ist die Implementierung von Tools/Technologien zur schnelleren Erkennung und Reaktionszeit von entscheidender Bedeutung und kann Ihrem Sicherheitsteam helfen, eine Datenverletzung zu verhindern.

Wenn Ihrem Team die Ressourcen für die proaktive Erkennung von und die Reaktion auf hochentwickelte, hartnäckige Bedrohungen fehlen, sollten Sie in Erwägung ziehen, Ihre Sicherheitsdienste an einen MDR-Anbieter (Managed Detection and Response) auszulagern. MDR-Unternehmen beraten und warnen Sie unabhängig vor unmittelbaren Bedrohungen und unterstützen Sie bei der Reaktion auf diese Bedrohungen und deren Beseitigung.

Kontaktieren Sie uns, um mehr über unsere Dienstleistungen im Bereich Managed Detection und Incident Response zu erfahren.