Wim Remes, Gründer von Wire Security, hat aus nächster Nähe miterlebt, wie die tägliche Flut von Sicherheitswarnungen die von ihm geleiteten Teams unter zig Millionen äußerst dringender und größtenteils irrelevanter Warnmeldungen begraben hat.
Während sich selbst die trivialsten dieser Sicherheitswarnungen unter mit Automatisierungstools unter bearbeiten lassen, hatte eines von Remes’ Teams mit einem anhaltenden Rückstau von Tausenden von Sicherheitsereignissen unter zu kämpfen und konnte nicht mehr mithalten.
„Das gesamte Team war voll und ganz damit beschäftigt, den Rückstand abzubauen“, sagt er. Unternehmen, die nicht Schritt halten können, werden – wie er festgestellt hat – die Flut von Cyberangriffen auf ihre Daten und Systeme wahrscheinlich nicht erfolgreich abwehren können, zumindest nicht auf Dauer.
Dies ist kein Problem, das sich in absehbarer Zeit von selbst lösen wird. Die hohe Anzahl an Warnmeldungen hat sich während der COVID-Pandemie noch weiter verschärft, da Unternehmen den Großteil der Arbeit ins Homeoffice verlagert haben. Wird dies nicht angemessen gehandhabt, führt das ständige Läuten der Alarmglocken lediglich dazu, dass die Analysten erschöpft sind.
[Lesen Sie auch: Wie Sie auf einen Cyberangriff reagieren sollten]
„Die menschlichen Verluste des vergangenen Jahres waren enorm“, sagt Martin Fisher, Leiter der Informationssicherheit und Chief Information Security Officer am Northside Hospital im Großraum Atlanta. „Wir sind nervös. Jeder Alarm führt zu einer Untersuchung im Rahmen der Reaktion auf kleinere Vorfälle. Ein solcher Aufwand ist anstrengend. Die Menschen sind am Ende ihrer Kräfte.“
Viele Sicherheitsprogramme von geben Warnmeldungen aus, die nicht genügend Kontext liefern, um zu verstehen, was gerade geschieht. Manchmal liegt es am Werkzeug. Manchmal liegt es an mangelnder Schulung des Personals. „Wäre dies ein einfaches Problem, wäre es schon längst gelöst worden“, sagt Chris Blow, Leiter des Bereichs Offensive Security bei Liberty Mutual.
Um die Anzahl der Warnmeldungen auf ein Maß zu reduzieren, das von Menschen und Systemen bewältigt werden kann, müssen Unternehmen den Sprung von der „Warnmüdigkeit“ hin zum „Bewusstsein für Warnmeldungen“ schaffen. Dies können sie erreichen, indem sie Sicherheitstools und Sensoren feinabstimmen, sich auf die wirklich wichtigen Warnmeldungen konzentrieren, die Arbeitsbelastung der Analysten durch Automatisierung verringern, die Schulung der Mitarbeiter intensivieren und ihre Sicherheitslage im Bereich „ “ proaktiv stärken.
Stellen Sie Ihre Sicherheitsgeräte ein
Dies ist der naheliegende Schritt, aber er ist nicht unbedingt einfach. Sicherheitstools, die zur Überwachung von Netzwerken und Systemen eingesetzt werden, sind sehr empfindlich. Stellt man sie zu streng ein, werden sie regelrecht „geschwätzig“ und geben zu viele Warnmeldungen aus; stellt man sie zu locker ein, laufen Sicherheitsteams Gefahr, echte Angriffe zu übersehen.
„Man kann sie nicht einfach einrichten und dann vergessen“, sagt Blow von Liberty Mutual. Und doch behandeln viele Unternehmen sie genau so. Er erklärt, dass die erfolgreichsten Unternehmen über Prozesse verfügen, die alle für die Bearbeitung von Warnmeldungen erforderlichen Personen einbeziehen, darunter die zuständigen Anwendungs- und Systemverantwortlichen sowie die Mitarbeiter des SOC. Sie treffen sich wöchentlich oder noch häufiger, um mit den sich rasch wandelnden Bedrohungen Schritt zu halten.
„“ Die Priorisierung von Warnmeldungen und die Sicherstellung, dass alle Beteiligten diese Prioritäten verstehen, tragen wesentlich dazu bei, das Problem der Warnmüdigkeit zu lösen.“Chris Blow, Leiter des Bereichs Offensive Security bei Liberty Mutual
Remes of Wire Security empfiehlt, einen engen Rückkopplungskreislauf zwischen der Umgebung, die von den Sicherheitstools überwacht wird, und der Konfiguration der Tools, die Warnmeldungen ausgeben, zu schaffen. „Ihre Sicherheitsüberwachungstools müssen so eingestellt sein, dass sie genau die Warnmeldungen anzeigen, die Sie sehen möchten“, sagt er. Zu diesem Zweck empfiehlt Remes die Verwendung eines risikobasierten Rahmenkonzepts, das es Unternehmen ermöglicht, eine „ “-Bewertung von Cyberrisiken in ihre Entscheidungsfindung hinsichtlich der Geräte, Anwendungen, Netzwerke und Nutzer einzubeziehen, die sie schützen möchten.
Warnmeldungen priorisieren
Nicht alle Erkennungen von Ereignis en sind gleich. Zwar müssen die im Rückstand befindlichen Meldungen analysiert werden, doch müssen nicht alle davon sofort untersucht werden. „Die Priorisierung von Warnmeldungen und die Sicherstellung, dass alle diese Prioritäten verstehen, tragen wesentlich dazu bei, das Problem der Warnmüdigkeit zu lösen“, sagt Blow.
Um Prioritäten besser setzen zu können, ist es laut Blow unerlässlich, Faktoren wie die Quelle der Warnmeldung, das Volumen der Warnmeldungen, das Ausmaß der potenziellen Auswirkungen des Vorfalls, den Fortschritt des möglichen Angriffs sowie die Ähnlichkeit eines Vorfalls mit früheren Vorfällen zu berücksichtigen. Das Northside Hospital unter der Leitung von Herrn Fisher räumt zudem sensiblen Bereichen wie der Patientensicherheit und der Patientenerfahrung sowie Malware und Ransomware, die den Geschäftsbetrieb gefährden, hohe Priorität ein.
Automatisieren Sie die richtige Reaktion auf Warnmeldungen
Einige Warnmeldungen können automatisch bearbeitet werden. Beispielsweise ist es nicht erforderlich, eine dringende Benachrichtigung an menschliche Teams zu senden, wenn ein Benutzer nach zu vielen fehlgeschlagenen Anmeldeversuchen aus seinem Konto ausgesperrt wurde und anschließend eine Passwortzurücksetzung benötigt. Doch während ein oder zwei fehlgeschlagene Anmeldeversuche laut Blow keine hohe Priorität haben müssen, „könnte die Meldung eskaliert werden, wenn sie im Laufe eines Tages mehrfach ausgelöst wird.“
Zu den weiteren Bereichen, die automatisiert werden können, gehören die Analyse von „ “-Phishing-Angriffen . „Wenn jemand eine Phishing-E-Mail meldet, können Sie die Daten analysieren und mit Ihrer E-Mail-Infrastruktur interagieren, um ähnliche E-Mails aus den Postfächern anderer Nutzer zu entfernen“, sagt Remes.
„Seien Sie jedoch vorsichtig bei der Automatisierung schlechter Prozesse“, rät Remes. „Was Sie unbedingt vermeiden sollten, ist, dass Ihre automatisierten Prozesse nicht verstanden werden“, sagt er. „Der Weg vom Verständnis dessen, was geschieht, über das Verständnis dessen, was ein Team tun muss, bis hin zur Automatisierung dieser Prozesse ist kein schneller Prozess“, sagt er.
Schulen Sie Ihre Mitarbeiter im Umgang mit den neuesten Sicherheitstools
„Die Anzahl der Werkzeuge ist exponentiell gestiegen“, sagt Blow.
Zu viele Unternehmen versuchen, Produkte einzuführen, und hoffen, dass damit ihre Sicherheitsrisiken beseitigt werden. Die Tools landen letztendlich unter und werden unter schlecht verwaltet – sofern sie überhaupt genutzt werden. Stattdessen müssen Unternehmen möglicherweise in die professionellen Dienstleistungen investieren, die sie benötigen, um ihre Tools effektiv in Betrieb zu nehmen – und um sicherzustellen, dass ihr Sicherheitspersonal in angemessenem Umfang geschult wird.
„Zu viele Organisationen vernachlässigen einfach die entsprechenden Dienstleistungen und eine angemessene Schulung, und das macht sich bei der Umsetzung bemerkbar“, sagt Blow.
Seien Sie den Bedrohungen einen Schritt voraus
Da sich der Rückstau an Warnmeldungen allmählich abbaut, ist es von entscheidender Bedeutung, dass das Sicherheitsteam das Netzwerk proaktiv auf mögliche Anzeichen einer Kompromittierung überprüft, noch bevor überhaupt Warnmeldungen ausgelöst werden. Sollte eine bestimmte kriminelle Gruppe es auf Ihre Branche abgesehen haben (wie beispielsweise die jüngsten Angriffe der „ “ auf Einrichtungen des Gesundheitswesens), sollten Sie nach Anzeichen dafür suchen, ob sich diese Gruppe bereits in Ihrer eigenen IT-Umgebung eingenistet hat.
[Lesen Sie auch: Die zunehmende Anzahl von Tools gefährdet die Sicherheit nach der Pandemie]
„Wenn uns die Erkennung gelingt, benötigen wir die Warnmeldung gar nicht erst, da wir die von ihnen verwendete Technik einfach blockieren können“, sagt Blow.
Dem Alarm zuvorzukommen, klingt nach einem unerreichbaren Ziel, und ohne angemessene Schulungen, Dienste und Plattformen ist es das wahrscheinlich auch. Aber es ist ein Ziel, das es wert ist, sich gesetzt zu werden.
Wie hat es Remes’ überlastetes Team schließlich geschafft, seinen Arbeitsrückstand aufzuholen? Das Team optimierte die Umgebung so weit wie möglich und ging den Rückstand schrittweise an, indem es ihn in kleinere Teile aufteilte. „Wir haben fünf Analysten“, sagt er. „Jeder Analyst nimmt sich einen Tag pro Woche Zeit, um sich auf den Rückstand bei den Warnmeldungen zu konzentrieren. „Das bedeutet, dass jeder Analyst vier Tage pro Woche Zeit hat, sich auf andere Dinge zu konzentrieren.“
Es hat funktioniert. Der Rückstand des Teams ist nun von 3 000 auf 80 Meldungen gesunken. Doch wie bei allen anderen auch ist es ein ständiger Kampf, den Arbeitsrückstand gering zu halten.
