Nederlands
Menu

Cyberaanvallen en verdediging in de praktijk

Bij vier incidenten in een organisatie waren de tijd van optreden tot detectie en de tijd van detectie tot inperking: 10 uur en 4 uur bij incident 1, 30 uur en 2 uur bij incident 2, 2 uur en 6 uur bij incident 3, en 6 uur en 4 uur bij incident 4. Welke combinatie van de gemiddelde tijd van optreden tot detectie (MTTD) en de gemiddelde tijd van detectie tot inperking (MTTC) is juist?

  1. AMTTD 4 uur, MTTC 12 uur
  2. BMTTD 8 uur, MTTC 4 uur
  3. CMTTD 12 uur, MTTC 4 uur
Antwoord en toelichting tonen

Antwoord: C. MTTD 12 uur, MTTC 4 uur

MTTD is het gemiddelde van de tijden van optreden tot detectie, dus (10 + 30 + 2 + 6) ÷ 4 = 48 ÷ 4 = 12 uur. MTTC is het gemiddelde van de tijden van detectie tot inperking: (4 + 2 + 6 + 4) ÷ 4 = 16 ÷ 4 = 4 uur. In dit voorbeeld trekt de late detectie van incident 2 het gemiddelde flink omhoog, en het verschil met de mediaan van de tijd tot detectie (8 uur) laat zien dat een paar incidenten lang duurden voordat ze werden gedetecteerd. Hoe langer de tijd tot detectie, hoe langer aanvallers binnen actief kunnen zijn, dus MTTD verkorten met logmonitoring en EDR is belangrijk om de schade te beperken.

Dit onderwerp oefenen Naar de onderwerppagina

Meer vragen over Cyberaanvallen en verdediging in de praktijk

  1. Voor schade door ransomware wordt het verlies per incident (SLE) geschat op 40 miljoen yen en het jaarlijkse aantal voorvallen (ARO) op 0,5. Maatregel A kost 6 miljoen yen per jaar en verlaagt het aantal voorvallen tot 0,2 per jaar. Maatregel B kost 3 miljoen yen per jaar en verandert het aantal voorvallen niet, maar versnelt het herstel, waardoor het verlies per incident daalt tot 24 miljoen yen. Met de jaarlijkse verliesverwachting ALE = SLE × ARO en ROSI = (daling van de ALE − jaarlijkse kosten van de maatregel) ÷ jaarlijkse kosten van de maatregel: welke combinatie van de maatregel met de grootste ROSI en de waarde daarvan is juist?
  2. Een IDS onderzoekt 1 miljoen verbindingen per dag, waarvan er 100 echte aanvallen zijn. Het IDS detecteert 99% van de aanvallen en beoordeelt 0,1% van de verbindingen die geen aanval zijn ten onrechte als aanval. Welke waarde ligt het dichtst bij het aandeel van de door het IDS gegeven alerts dat een echte aanval is?
  3. Bij een SOC geeft het SIEM 1440 alerts per dag, gelijkmatig verdeeld over de dag. De geautomatiseerde verwerking van SOAR handelt 75% van de alerts af zonder controle door een analist, en elke overige alert vraagt gemiddeld 10 minuten werk van een analist. Wat is, als analisten zonder pauzes kunnen werken, het minimale aantal analisten dat voortdurend dienst moet hebben om het tempo bij te houden waarin de alerts binnenkomen?
  4. De Cyber Kill Chain die Lockheed Martin in 2011 presenteerde, verdeelt het verloop van een gerichte aanval in zeven fasen. Welke volgorde van de fasen is juist?
  5. MITRE ATT&CK is een kennisbank die de werkwijzen die bij echte aanvallen zijn waargenomen, indeelt in „tactieken”, die het doel van de aanvaller weergeven, en „technieken”, die de concrete methoden weergeven om dat doel te bereiken. Welke combinatie van een waargenomen handeling en de tactiek waaronder die valt, is juist?