Deutsch
Menü

Cyberangriffe und Abwehr in der Praxis

In einem SOC erzeugt das SIEM 1440 Warnungen pro Tag, die gleichmäßig über den Tag verteilt auftreten. Durch die automatische Verarbeitung mit SOAR werden 75 % der Warnungen ohne Prüfung durch Analysten erledigt; die übrigen Warnungen erfordern im Mittel 10 Minuten Analystenarbeit pro Warnung. Analysten sollen ohne Pause arbeiten können. Wie viele Analysten müssen mindestens ständig eingesetzt sein, damit die Warnungen ohne Rückstand im Tempo ihres Auftretens bearbeitet werden?

  1. A2 Personen
  2. B3 Personen
  3. C10 Personen
Antwort und Erläuterung anzeigen

Antwort: B. 3 Personen

Analysten prüfen 1440 × (1 − 0,75) = 360 Warnungen pro Tag, also 360 ÷ 24 = 15 pro Stunde. Ein Analyst bearbeitet pro Stunde 60 ÷ 10 = 6 Warnungen; nötig sind daher 15 ÷ 6 = 2,5 Personen, aufgerundet 3. Ohne die automatische Verarbeitung durch SOAR wären es 60 Warnungen pro Stunde, und 60 ÷ 6 = 10 Personen wären nötig. In der Praxis gibt es Pausen und andere Aufgaben, und die Zahl der Warnungen schwankt mit der Tageszeit; die Personalstärke wird daher mit Reserve bei der Auslastung festgelegt.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Cyberangriffe und Abwehr in der Praxis

  1. Die 2011 von Lockheed Martin vorgestellte Cyber Kill Chain teilt den Ablauf eines gezielten Angriffs in sieben Phasen ein. Welche Reihenfolge der Phasen ist richtig?
  2. MITRE ATT&CK ist eine Wissensbasis, die in realen Angriffen beobachtete Vorgehensweisen in „Taktiken“ (Tactics), die das Ziel des Angreifers beschreiben, und „Techniken“ (Techniques), die die konkreten Methoden zum Erreichen dieses Ziels beschreiben, gliedert. Welche Zuordnung eines beobachteten Verhaltens zu einer Taktik ist richtig?
  3. Welche Methode gehört zum „Erstzugriff“, mit dem ein Angreifer erstmals in das Netzwerk einer Organisation gelangt?
  4. Bei der Untersuchung der Verbindungsaufzeichnungen im internen Netzwerk wurden die folgenden Verbindungen gefunden. Bei welcher ist der Verdacht am stärksten, dass Malware mit einem externen Steuerungsserver (C2-Server) kommuniziert?
  5. Ein Angreifer hat eine Schwachstelle einer Webanwendung ausgenutzt und kann nun mit denselben Rechten eines gewöhnlichen Benutzers wie das Webserverprogramm Befehle ausführen. Welches Beispiel für die anschließende „Rechteausweitung“ durch den Angreifer ist richtig?