Cyberbeveiliging 101: Wat u moet weten over fout-positieven en fout-negatieven

Een overzicht van fout-positieven en fout-negatieven

Het is belangrijk voor iedereen die werkzaam is in de informatiebeveiliging om de verschillen te begrijpen tussen fout-positieven en fout-negatieven en hoe deze gerelateerd zijn aan cyberbeveiliging. Waarom? Het onderzoeken van fout-positieven is een verspilling van tijd en middelen en leidt uw team af van de aandacht voor echte cyberincidenten (waarschuwingen) die afkomstig zijn van uw SIEM.

Aan de andere kant, het missen van valse negatieven (niet-gevangen bedreigingen) verhoogt uw cyberrisico, vermindert uw vermogen om te reageren op deze aanvallers en kan in het geval van een datalek leiden tot het einde van uw bedrijf.

Wat zijn fout-positieven?

False positives zijn verkeerd gelabelde beveiligingswaarschuwingen, die aangeven dat er een bedreiging is terwijl dat in werkelijkheid niet zo is. Deze valse/niet-kwaadaardige meldingen (SIEM-events) zorgen voor meer ruis bij de toch al overwerkte beveiligingsteams en kunnen softwarebugs, slecht geschreven software of niet-herkend netwerkverkeer bevatten.

Standaard zijn de meeste beveiligingsteams erop ingesteld om valse positieven te negeren. Helaas kan deze gewoonte om beveiligingswaarschuwingen te negeren – hoe onbelangrijk ze ook mogen lijken – leiden tot waarschuwingsmoeheid, waardoor uw team daadwerkelijke, belangrijke waarschuwingen met betrekking tot echte/kwaadaardige cyberdreigingen over het hoofd kan zien (zoals het geval was bij het datalek bij Target).

Deze valse alarmen vormen ruwweg 40% van de waarschuwingen die cyberbeveiligingsteams dagelijks ontvangen en kunnen bij grote organisaties overweldigend en een enorme tijdverspilling zijn.

Wat zijn fout-negatieven?

Valse negatieven zijn niet-gevangen cyberbedreigingen - die over het hoofd worden gezien door beveiligingstools omdat ze sluimerend aanwezig zijn, zeer geavanceerd zijn (d.w.z. bestandsloos of in staat tot laterale beweging) of omdat de aanwezige beveiligingsinfrastructuur niet over de technologische mogelijkheden beschikt om deze aanvallen te detecteren.

Deze geavanceerde/verborgen cyberbedreigingen zijn in staat om preventietechnologieën te omzeilen, zoals next-gen firewalls, antivirussoftware en Endpoint Detection & Response (EDR)-platforms die getraind zijn om te zoeken naar "bekende" aanvallen en malware.

Geen enkele technologie op het gebied van cyberbeveiliging of preventie van datalekken kan 100% van de bedreigingen die ze tegenkomen blokkeren. False positives behoren tot de 1% (ruwweg) van kwaadaardige malware en cyberbedreigingen die de meeste preventiemethoden geneigd zijn te missen.

Uw cyberbeveiligingsbeleid versterken

Het feit dat er zowel valse positieven als valse negatieven bestaan, roept de vraag op: omvat uw cyberbeveiligingsstrategie ook proactieve maatregelen? De meeste beveiligingsprogramma’s zijn gebaseerd op preventieve en reactieve componenten — het opzetten van sterke verdedigingsmechanismen tegen de aanvallen waarvan die tools weten dat ze bestaan. Proactieve beveiligingsmaatregelen omvatten daarentegen het invoeren van beleid en procedures voor incidentrespons en het proactief opsporen van verborgen of onbekende aanvallen.

Hier zijn een paar eenvoudige regels om uw benadering van cyberbeveiliging te sturen met een preventieve, reactieve en proactieve instelling:

• Ga ervan uit dat u bent geschonden en begin uw offensieve (proactieve) initiatieven met het doel die schendingen te vinden. Door dit te doen, probeert u de kracht van uw defensieve/preventieve tools te valideren, met dien verstande dat geen enkele 100% effectief is.
• Gebruik asset discovery tools om de hosts, systemen, servers en applicaties binnen uw netwerkomgeving te ontdekken, want u kunt niet beschermen wat u niet kent.
• Voer regelmatig compromisbeoordelingen uit (we raden minstens één keer per week aan) en inspecteer elk bedrijfsmiddel op uw netwerk.
• Definieer beveiligingsbeleid en -procedures en implementeer opleidings-/trainingsvereisten zodat uw hele team weet wat te doen in het geval u een verborgen inbreuk ontdekt, of erger nog, slachtoffer wordt van een datalek.
• Tijd is uw meest waardevolle bezit, dus het implementeren van tools/technologie om uw snelheid van detectie en reactietijd te verhogen is essentieel en kan uw beveiligingsteam helpen een datalek te voorkomen.

Als uw team niet over de middelen beschikt om proactief geavanceerde aanhoudende bedreigingen te detecteren en erop te reageren, overweeg dan om uw beveiligingsdiensten uit te besteden aan een MDR-provider (Managed Detection and Response). MDR-bedrijven adviseren en waarschuwen u onafhankelijk voor directe bedreigingen en bieden hulp bij het reageren op en elimineren van deze bedreigingen.

Neem contact met ons opvoor meer informatie over onze diensten op het gebied van beheerde detectie en incidentrespons.