Deutsch
Menü

Cyberangriffe und Abwehr in der Praxis

Für vier Sicherheitsvorfälle einer Organisation betrugen die Zeit vom Auftreten bis zur Erkennung und die Zeit von der Erkennung bis zur Eindämmung: Fall 1: 10 und 4 Stunden, Fall 2: 30 und 2 Stunden, Fall 3: 2 und 6 Stunden, Fall 4: 6 und 4 Stunden. Welche Kombination aus der mittleren Zeit vom Auftreten bis zur Erkennung (MTTD) und der mittleren Zeit von der Erkennung bis zur Eindämmung (MTTC) ist richtig?

  1. AMTTD 4 Stunden, MTTC 12 Stunden
  2. BMTTD 8 Stunden, MTTC 4 Stunden
  3. CMTTD 12 Stunden, MTTC 4 Stunden
Antwort und Erläuterung anzeigen

Antwort: C. MTTD 12 Stunden, MTTC 4 Stunden

Die MTTD ist der Mittelwert der Zeiten vom Auftreten bis zur Erkennung: (10 + 30 + 2 + 6) ÷ 4 = 48 ÷ 4 = 12 Stunden. Die MTTC ist der Mittelwert der Zeiten von der Erkennung bis zur Eindämmung: (4 + 2 + 6 + 4) ÷ 4 = 16 ÷ 4 = 4 Stunden. In diesem Beispiel zieht die späte Erkennung in Fall 2 den Mittelwert stark nach oben; der Unterschied zum Median der Zeiten bis zur Erkennung (8 Stunden) zeigt, dass es wenige Fälle mit langer Erkennungsdauer gibt. Je länger es bis zur Erkennung dauert, desto länger kann der Angreifer im Inneren aktiv sein; um den Schaden gering zu halten, ist es daher wichtig, die MTTD durch Log-Überwachung und EDR zu verkürzen.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Cyberangriffe und Abwehr in der Praxis

  1. Für Ransomware-Schäden wurden der Schaden pro Ereignis (SLE) auf 40 Millionen Yen und die jährliche Häufigkeit (ARO) auf 0,5-mal geschätzt. Maßnahme A kostet jährlich 6 Millionen Yen und senkt die Häufigkeit auf 0,2-mal pro Jahr. Maßnahme B kostet jährlich 3 Millionen Yen und lässt die Häufigkeit unverändert, beschleunigt aber die Wiederherstellung und senkt den Schaden pro Ereignis auf 24 Millionen Yen. Es gelte jährliche Verlusterwartung (ALE) = SLE × ARO und ROSI = (Verringerung der ALE − jährliche Kosten der Maßnahme) ÷ jährliche Kosten der Maßnahme. Welche Kombination aus der Maßnahme mit dem größeren ROSI und ihrem Wert ist richtig?
  2. Ein IDS untersucht pro Tag 1 Million Verbindungen, von denen 100 tatsächlich Angriffe sind. Das IDS erkennt 99 % der Angriffe und stuft 0,1 % der Verbindungen, die keine Angriffe sind, fälschlich als Angriff ein. Welcher Wert liegt dem Anteil der IDS-Warnungen, die tatsächlich Angriffe sind, am nächsten?
  3. In einem SOC erzeugt das SIEM 1440 Warnungen pro Tag, die gleichmäßig über den Tag verteilt auftreten. Durch die automatische Verarbeitung mit SOAR werden 75 % der Warnungen ohne Prüfung durch Analysten erledigt; die übrigen Warnungen erfordern im Mittel 10 Minuten Analystenarbeit pro Warnung. Analysten sollen ohne Pause arbeiten können. Wie viele Analysten müssen mindestens ständig eingesetzt sein, damit die Warnungen ohne Rückstand im Tempo ihres Auftretens bearbeitet werden?
  4. Die 2011 von Lockheed Martin vorgestellte Cyber Kill Chain teilt den Ablauf eines gezielten Angriffs in sieben Phasen ein. Welche Reihenfolge der Phasen ist richtig?
  5. MITRE ATT&CK ist eine Wissensbasis, die in realen Angriffen beobachtete Vorgehensweisen in „Taktiken“ (Tactics), die das Ziel des Angreifers beschreiben, und „Techniken“ (Techniques), die die konkreten Methoden zum Erreichen dieses Ziels beschreiben, gliedert. Welche Zuordnung eines beobachteten Verhaltens zu einer Taktik ist richtig?