Deutsch
Menü

Cyberangriffe und Abwehr in der Praxis

Welche Aussage vergleicht bei den Erkennungsverfahren eines IDS die signaturbasierte Erkennung (Missbrauchserkennung) und die anomaliebasierte Erkennung (Anomalieerkennung) richtig?

  1. ADie signaturbasierte Erkennung erkennt Übereinstimmungen mit Merkmalen bekannter Angriffe und übersieht daher leicht unbekannte Angriffe; die anomaliebasierte erkennt Abweichungen vom Normalzustand und bemerkt so auch unbekannte Angriffe, erzeugt aber viele Fehlalarme
  2. BDie signaturbasierte Erkennung erkennt auch nicht registrierte, unbekannte Angriffe zuverlässig, die anomaliebasierte dagegen nur registrierte, bekannte Angriffe
  3. CDie anomaliebasierte Erkennung muss den Normalzustand nicht lernen, arbeitet daher direkt nach der Einführung ohne Fehlalarme und braucht keine Signatur-Updates
Antwort und Erläuterung anzeigen

Antwort: A. Die signaturbasierte Erkennung erkennt Übereinstimmungen mit Merkmalen bekannter Angriffe und übersieht daher leicht unbekannte Angriffe; die anomaliebasierte erkennt Abweichungen vom Normalzustand und bemerkt so auch unbekannte Angriffe, erzeugt aber viele Fehlalarme

Bei der signaturbasierten Erkennung werden Merkmale des Verkehrs bekannter Angriffe (Signaturen) vorab registriert, und Übereinstimmungen werden erkannt. Registrierte Angriffe werden zuverlässig gefunden, neue oder leicht abgewandelte Angriffe aber leicht übersehen, und die Signaturen müssen ständig aktualisiert werden. Die anomaliebasierte Erkennung lernt den Normalzustand (Baseline) wie Verkehrsmenge, Tageszeit und Verbindungsziele und erkennt starke Abweichungen davon, sodass sie unbekannte Angriffe bemerken kann. Andererseits stuft sie normalen, aber seltenen Verkehr leicht als anomal ein und erzeugt mehr Fehlalarme; in der Praxis werden daher beide kombiniert.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Cyberangriffe und Abwehr in der Praxis

  1. Welche Aussage beschreibt eine WAF (Web Application Firewall) richtig?
  2. Auf einem internen Dateiserver werden „Köder“-Dateien, die im Arbeitsalltag niemand verwendet, und ein Köder-Administratorkonto, das in keinem System genutzt wird, abgelegt, und Zugriffe darauf werden überwacht. Was ist der Hauptvorteil dieser Maßnahme?
  3. Die 2012 vom US-amerikanischen NIST veröffentlichte zweite Ausgabe (Rev. 2) des Leitfadens SP 800-61 zur Incident Response stellt die Bearbeitung von Sicherheitsvorfällen als Wiederholung von vier Phasen dar. Welche Reihenfolge der Phasen ist richtig?
  4. Auf einem Server, auf dem sich ein Sicherheitsvorfall ereignet hat, werden Beweise für die Untersuchung gesammelt. Welche Reihenfolge entspricht am besten dem Grundsatz, Beweise in der Reihenfolge zu sammeln, in der sie verloren gehen können (von hoher zu niedriger Flüchtigkeit)?
  5. Bei der Untersuchung eines Sicherheitsvorfalls sollen Beweise wie Festplattenkopien so behandelt werden, dass sie später auch vor Gericht oder für eine Strafanzeige verwendet werden können. Welcher Umgang entspricht am besten dem Grundsatz der lückenlosen Beweismittelkette (Chain of Custody)?