Deutsch
Menü

Cyberangriffe und Abwehr in der Praxis

Ein IDS untersucht pro Tag 1 Million Verbindungen, von denen 100 tatsächlich Angriffe sind. Das IDS erkennt 99 % der Angriffe und stuft 0,1 % der Verbindungen, die keine Angriffe sind, fälschlich als Angriff ein. Welcher Wert liegt dem Anteil der IDS-Warnungen, die tatsächlich Angriffe sind, am nächsten?

  1. AEtwa 0,01 %
  2. BEtwa 9 %
  3. CEtwa 99 %
Antwort und Erläuterung anzeigen

Antwort: B. Etwa 9 %

Von den Angriffen werden 100 × 0,99 = 99 erkannt; von den 999.900 Verbindungen ohne Angriff werden 999.900 × 0,001 = 999,9 (etwa 1.000) fälschlich gemeldet. Insgesamt gibt es etwa 1.099 Warnungen, davon 99 Angriffe; der Anteil beträgt also 99 ÷ 1.099 ≈ 0,090, etwa 9 %. In einer Umgebung, in der Angriffe selten sind, besteht die große Mehrheit der Warnungen selbst bei kleiner Fehlalarmrate aus Fehlalarmen (Fehler durch Vernachlässigung der Basisrate). Senkt man die Fehlalarmrate auf 0,01 %, gibt es etwa 100 Fehlalarme, und der Anteil steigt auf etwa 50 %; um die Analyselast zu senken, ist es daher wichtig, Fehlalarme durch Abstimmung der Erkennungsregeln und Abgleich mit anderen Informationen zu verringern.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Cyberangriffe und Abwehr in der Praxis

  1. In einem SOC erzeugt das SIEM 1440 Warnungen pro Tag, die gleichmäßig über den Tag verteilt auftreten. Durch die automatische Verarbeitung mit SOAR werden 75 % der Warnungen ohne Prüfung durch Analysten erledigt; die übrigen Warnungen erfordern im Mittel 10 Minuten Analystenarbeit pro Warnung. Analysten sollen ohne Pause arbeiten können. Wie viele Analysten müssen mindestens ständig eingesetzt sein, damit die Warnungen ohne Rückstand im Tempo ihres Auftretens bearbeitet werden?
  2. Die 2011 von Lockheed Martin vorgestellte Cyber Kill Chain teilt den Ablauf eines gezielten Angriffs in sieben Phasen ein. Welche Reihenfolge der Phasen ist richtig?
  3. MITRE ATT&CK ist eine Wissensbasis, die in realen Angriffen beobachtete Vorgehensweisen in „Taktiken“ (Tactics), die das Ziel des Angreifers beschreiben, und „Techniken“ (Techniques), die die konkreten Methoden zum Erreichen dieses Ziels beschreiben, gliedert. Welche Zuordnung eines beobachteten Verhaltens zu einer Taktik ist richtig?
  4. Welche Methode gehört zum „Erstzugriff“, mit dem ein Angreifer erstmals in das Netzwerk einer Organisation gelangt?
  5. Bei der Untersuchung der Verbindungsaufzeichnungen im internen Netzwerk wurden die folgenden Verbindungen gefunden. Bei welcher ist der Verdacht am stärksten, dass Malware mit einem externen Steuerungsserver (C2-Server) kommuniziert?