Nederlands
Menu

Cyberaanvallen en verdediging in de praktijk

Een IDS onderzoekt 1 miljoen verbindingen per dag, waarvan er 100 echte aanvallen zijn. Het IDS detecteert 99% van de aanvallen en beoordeelt 0,1% van de verbindingen die geen aanval zijn ten onrechte als aanval. Welke waarde ligt het dichtst bij het aandeel van de door het IDS gegeven alerts dat een echte aanval is?

  1. AOngeveer 0,01%
  2. BOngeveer 9%
  3. COngeveer 99%
Antwoord en toelichting tonen

Antwoord: B. Ongeveer 9%

Van de aanvallen worden er 100 × 0,99 = 99 gedetecteerd, en van de 999.900 verbindingen die geen aanval zijn, leveren er 999.900 × 0,001 = 999,9 (ongeveer 1000) ten onrechte een alert op. Er zijn in totaal ongeveer 1099 alerts, waarvan 99 aanvallen, dus het aandeel is 99 ÷ 1099 ≈ 0,090, ongeveer 9%. Waar aanvallen zeldzaam zijn, is het merendeel van de alerts vals-positief, ook als het percentage vals-positieven klein is (het negeren van de basisfrequentie, de base-rate fallacy). Wordt het percentage vals-positieven verlaagd tot 0,01%, dan dalen de vals-positieven tot ongeveer 100 en stijgt het aandeel tot ongeveer 50%; vals-positieven terugdringen door detectieregels af te stellen en met andere informatie te vergelijken, is dus belangrijk om de werklast van de analisten te verlichten.

Dit onderwerp oefenen Naar de onderwerppagina

Meer vragen over Cyberaanvallen en verdediging in de praktijk

  1. Bij een SOC geeft het SIEM 1440 alerts per dag, gelijkmatig verdeeld over de dag. De geautomatiseerde verwerking van SOAR handelt 75% van de alerts af zonder controle door een analist, en elke overige alert vraagt gemiddeld 10 minuten werk van een analist. Wat is, als analisten zonder pauzes kunnen werken, het minimale aantal analisten dat voortdurend dienst moet hebben om het tempo bij te houden waarin de alerts binnenkomen?
  2. De Cyber Kill Chain die Lockheed Martin in 2011 presenteerde, verdeelt het verloop van een gerichte aanval in zeven fasen. Welke volgorde van de fasen is juist?
  3. MITRE ATT&CK is een kennisbank die de werkwijzen die bij echte aanvallen zijn waargenomen, indeelt in „tactieken”, die het doel van de aanvaller weergeven, en „technieken”, die de concrete methoden weergeven om dat doel te bereiken. Welke combinatie van een waargenomen handeling en de tactiek waaronder die valt, is juist?
  4. Welke van de volgende is een werkwijze voor „initiële toegang”, waarmee een aanvaller voor het eerst het netwerk van een organisatie binnendringt?
  5. Bij onderzoek van de registratie van het verkeer op een intern netwerk is het volgende verkeer gevonden. Welk verkeer wijst het sterkst op malware die communiceert met een externe commandoserver (C2-server)?