Nederlands
Menu

Cyberaanvallen en verdediging in de praktijk

Welke vergelijking van detectie op basis van signaturen (misbruikdetectie) en detectie op basis van anomalieën als detectiemethoden van een IDS is juist?

  1. ASignatuurgebaseerde detectie zoekt naar overeenkomsten met kenmerken van bekende aanvallen en mist gemakkelijk onbekende aanvallen; anomaliegebaseerde detectie vindt afwijkingen van het normale en kan onbekende aanvallen opmerken, maar geeft meer vals-positieven
  2. BSignatuurgebaseerde detectie detecteert betrouwbaar ook onbekende aanvallen die niet geregistreerd zijn, terwijl anomaliegebaseerde detectie alleen vooraf geregistreerde bekende aanvallen kan detecteren
  3. CAnomaliegebaseerde detectie hoeft de normale toestand niet te leren, kan dus direct na de invoering zonder vals-positieven worden gebruikt, en heeft geen updates van signaturen nodig
Antwoord en toelichting tonen

Antwoord: A. Signatuurgebaseerde detectie zoekt naar overeenkomsten met kenmerken van bekende aanvallen en mist gemakkelijk onbekende aanvallen; anomaliegebaseerde detectie vindt afwijkingen van het normale en kan onbekende aanvallen opmerken, maar geeft meer vals-positieven

Signatuurgebaseerde detectie registreert vooraf de verkeerskenmerken (signaturen) van bekende aanvallen en detecteert wat daarmee overeenkomt. Geregistreerde aanvallen worden nauwkeurig gevonden, maar nieuwe aanvallen of aanvallen met licht gewijzigde kenmerken worden gemakkelijk gemist, en de signaturen moeten voortdurend worden bijgewerkt. Anomaliegebaseerde detectie leert de normale toestand (baseline), zoals de hoeveelheid verkeer, het tijdstip van de dag en de bestemmingen, en detecteert grote afwijkingen daarvan, zodat ze onbekende aanvallen kan opmerken. Anderzijds beoordeelt ze legitiem maar zeldzaam verkeer gemakkelijk als abnormaal, wat het aantal vals-positieven verhoogt; in de praktijk worden beide daarom gecombineerd.

Dit onderwerp oefenen Naar de onderwerppagina

Meer vragen over Cyberaanvallen en verdediging in de praktijk

  1. Welke beschrijving van een WAF (webapplicatiefirewall) is juist?
  2. Een organisatie plaatst op een interne bestandsserver „lok”-bestanden die niemand voor zijn werk gebruikt, en een lokaccount van een beheerder dat door geen enkel systeem wordt gebruikt, en bewaakt de toegang ertoe. Wat is het belangrijkste voordeel van deze maatregel?
  3. De tweede revisie (Rev. 2) van SP 800-61, de richtlijn voor incidentrespons die het Amerikaanse NIST in 2012 publiceerde, presenteert incidentrespons als een cyclus van vier fasen. Welke volgorde van de fasen is juist?
  4. Van een server waarop een incident heeft plaatsgevonden, moet bewijs voor een onderzoek worden verzameld. Welke volgorde is het meest passend volgens het principe dat bewijs wordt verzameld in de volgorde waarin het het gemakkelijkst verloren gaat (volgorde van vluchtigheid)?
  5. Bewijs uit een incidentonderzoek, zoals een kopie van een schijf, moet zo worden behandeld dat het later ook in een rechtszaak of bij een aangifte bij de politie kan worden gebruikt. Welke behandeling is het meest passend volgens het idee van de chain of custody (ononderbroken bewijsketen)?