Nederlands
Menu

Cyberaanvallen en verdediging in de praktijk

Bij een SOC geeft het SIEM 1440 alerts per dag, gelijkmatig verdeeld over de dag. De geautomatiseerde verwerking van SOAR handelt 75% van de alerts af zonder controle door een analist, en elke overige alert vraagt gemiddeld 10 minuten werk van een analist. Wat is, als analisten zonder pauzes kunnen werken, het minimale aantal analisten dat voortdurend dienst moet hebben om het tempo bij te houden waarin de alerts binnenkomen?

  1. A2 analisten
  2. B3 analisten
  3. C10 analisten
Antwoord en toelichting tonen

Antwoord: B. 3 analisten

De alerts die analisten controleren, zijn 1440 × (1 − 0,75) = 360 per dag, dus 360 ÷ 24 = 15 per uur. Eén analist kan 60 ÷ 10 = 6 alerts per uur afhandelen, dus het benodigde aantal is 15 ÷ 6 = 2,5, naar boven afgerond 3. Zonder de geautomatiseerde verwerking van SOAR zouden er 60 alerts per uur zijn en zouden 60 ÷ 6 = 10 analisten nodig zijn. In de praktijk zijn er pauzes en andere taken en varieert het aantal alerts met het tijdstip van de dag, dus de bezetting wordt bepaald met marge in de bezettingsgraad.

Dit onderwerp oefenen Naar de onderwerppagina

Meer vragen over Cyberaanvallen en verdediging in de praktijk

  1. De Cyber Kill Chain die Lockheed Martin in 2011 presenteerde, verdeelt het verloop van een gerichte aanval in zeven fasen. Welke volgorde van de fasen is juist?
  2. MITRE ATT&CK is een kennisbank die de werkwijzen die bij echte aanvallen zijn waargenomen, indeelt in „tactieken”, die het doel van de aanvaller weergeven, en „technieken”, die de concrete methoden weergeven om dat doel te bereiken. Welke combinatie van een waargenomen handeling en de tactiek waaronder die valt, is juist?
  3. Welke van de volgende is een werkwijze voor „initiële toegang”, waarmee een aanvaller voor het eerst het netwerk van een organisatie binnendringt?
  4. Bij onderzoek van de registratie van het verkeer op een intern netwerk is het volgende verkeer gevonden. Welk verkeer wijst het sterkst op malware die communiceert met een externe commandoserver (C2-server)?
  5. Een aanvaller die een kwetsbaarheid in een webapplicatie heeft uitgebuit, kan nu opdrachten uitvoeren met dezelfde gewone gebruikersrechten als het webserverprogramma. Welke van de volgende is een voorbeeld van de „privilege-escalatie” die de aanvaller daarna uitvoert?