Deutsch
Menü

Cyberangriffe und Abwehr in der Praxis

Welche Aussage über die in der Bedrohungserkennung verwendeten Begriffe IoC (Indicator of Compromise) und IoA (Indicator of Attack) ist richtig?

  1. AEin IoC richtet sich auf Verhalten und Absichten des Angreifers, ein IoA ist eine konkrete Spur wie der Hashwert einer Malware oder die IP-Adresse eines C2-Servers
  2. BEin IoC ist eine konkrete Spur einer Kompromittierung wie der Hashwert einer Malware oder die IP-Adresse eines C2-Servers, ein IoA richtet sich auf Verhalten des Angreifers wie den Versuch, Zugangsdaten zu stehlen
  3. CIoC und IoA geben beide den Schweregrad einer Schwachstelle als Zahl von 0,0 bis 10,0 an und dienen dazu, die Reihenfolge der Korrekturen festzulegen
Antwort und Erläuterung anzeigen

Antwort: B. Ein IoC ist eine konkrete Spur einer Kompromittierung wie der Hashwert einer Malware oder die IP-Adresse eines C2-Servers, ein IoA richtet sich auf Verhalten des Angreifers wie den Versuch, Zugangsdaten zu stehlen

Ein IoC (Indicator of Compromise) ist eine konkrete Spur, die zeigt, dass eine Kompromittierung stattgefunden hat, etwa der Hashwert einer Malware-Datei, die IP-Adresse oder der Domainname eines C2-Servers oder ein charakteristischer Dateiname. IoCs werden mit anderen Organisationen und Threat-Intelligence-Anbietern geteilt und mit den eigenen Logs und Endgeräten abgeglichen, um festzustellen, ob man von demselben Angriff betroffen ist. Hashwerte und IP-Adressen kann ein Angreifer allerdings leicht ändern; daher werden IoCs mit IoAs (Angriffsindikatoren) kombiniert, die auf schwer veränderbares Verhalten des Angreifers achten, etwa Versuche, Zugangsdaten zu stehlen, oder Bewegungen im Inneren mit legitimen Werkzeugen.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Cyberangriffe und Abwehr in der Praxis

  1. Welche Aussage beschreibt den Unterschied zwischen den Rollen eines CSIRT und eines PSIRT innerhalb einer Organisation richtig?
  2. Bei der Untersuchung eines Eindringens werden die Logs zweier Server abgeglichen. Die Logs des Webservers sind in koordinierter Weltzeit (UTC) aufgezeichnet, und seine Uhr war per NTP korrekt gestellt. Die Logs des Dateiservers sind in japanischer Zeit (UTC+9 Stunden) aufgezeichnet, und seine Uhr ging gegenüber der richtigen Zeit 4 Minuten vor. Im Log des Webservers ist eine verdächtige Anmeldung um 01:52 (UTC) verzeichnet, im Log des Dateiservers das Auslesen sehr vieler Dateien um 10:58 (japanische Zeit). Wie viele Minuten nach der verdächtigen Anmeldung fand das Auslesen der Dateien tatsächlich statt?
  3. In derselben Woche wurden Korrekturen für drei Schwachstellen veröffentlicht. Der Betriebsverantwortliche kann nur eine Korrektur pro Tag einspielen. Welche Kombination aus der zuerst zu behebenden Schwachstelle und dem Grund ist am besten geeignet?
  4. Welche Aussage beschreibt den Unterschied zwischen Schwachstellenscan, Penetrationstest und Red-Team-Übung als Methoden zur Überprüfung der Abwehr einer Organisation richtig?
  5. Ein externer Sicherheitsforscher hat in einem Produkt eines Unternehmens eine nicht veröffentlichte Schwachstelle gefunden. Welches Vorgehen entspricht am besten der koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure)?