Netzwerkverkehr: Tarnung oder Bedrohung? Wie SOCs aufrüsten

LONDON (IT BOLTWISE) – In einer Zeit, in der Cyberbedrohungen zunehmend legitimes Nutzerverhalten nachahmen, stehen Sicherheitsoperationen vor der Herausforderung, gefährlichen Datenverkehr von harmlosen zu unterscheiden.

Die zunehmende Komplexität von Cyberbedrohungen stellt Sicherheitsoperationen vor neue Herausforderungen. Fast 80 % der Bedrohungen imitieren mittlerweile legitimes Nutzerverhalten, was die Erkennung erschwert. Herkömmliche Methoden wie Firewalls und Endpoint Detection and Response (EDR) stoßen an ihre Grenzen, insbesondere bei Zero-Day-Exploits und malwarefreien Angriffen. Laut dem neuesten Data Breach Investigations Report von Verizon sind die Angriffe auf Edge-Geräte und VPN-Gateways von 3 % auf 22 % gestiegen.

Um diesen Herausforderungen zu begegnen, setzen führende Sicherheitsoperationen auf eine mehrschichtige Erkennungsstrategie, die Netzwerkdaten nutzt, um Aktivitäten aufzudecken, die Angreifer nicht verbergen können. Technologien wie Network Detection and Response (NDR) werden zunehmend eingesetzt, um die Sichtbarkeit zu erhöhen und Verhaltensweisen aufzudecken, die von endpoint-basierten Lösungen übersehen werden könnten. Im Gegensatz zu EDR arbeitet NDR ohne Agenten, was eine effektive Identifizierung von Bedrohungen ermöglicht, die gängige Techniken und legitime Tools missbrauchen.

Die Implementierung einer mehrschichtigen Erkennungsstrategie ist vergleichbar mit dem Schichten von Kleidung bei unvorhersehbarem Wetter. Elite-SOCs erhöhen ihre Widerstandsfähigkeit durch eine Strategie, die auf Netzwerkeinsichten basiert. Durch die Konsolidierung von Erkennungen in einem einzigen System vereinfacht NDR das Management und ermöglicht es Teams, sich auf hochpriorisierte Risiken zu konzentrieren. Teams können sich schnell an sich entwickelnde Angriffsszenarien anpassen, Bedrohungen schneller erkennen und Schäden minimieren.

Die Basis dieser Strategie bildet die signaturbasierte Netzwerkerkennung, die aufgrund ihrer Leichtigkeit und schnellen Reaktionszeiten als erste Schutzschicht dient. Bedrohungsinformationen, die oft aus Indikatoren für Kompromittierungen bestehen, suchen nach bekannten Netzwerkeinheiten, die in tatsächlichen Angriffen beobachtet wurden. Diese Informationen sind leicht zu teilen und bieten eine schnelle Erkennung.

Ein weiterer wichtiger Bestandteil ist die Malware-Erkennung, die als wasserdichte Barriere gegen Malware-Payloads fungiert. Erkennungen wie YARA-Regeln können Malware-Familien identifizieren, die gemeinsame Code-Strukturen teilen. Dies ist entscheidend für die Erkennung polymorpher Malware, die ihre Signatur verändert, während sie ihre Kernverhaltensmerkmale beibehält.

Die adaptive Schicht nutzt Verhaltensanalysen und maschinelles Lernen, um bekannte, unbekannte und ausweichende Bedrohungen zu identifizieren. Verhaltensanalysen erkennen gefährliche Aktivitäten wie Domain-Generierungsalgorithmen und ungewöhnliche Datenexfiltrationsmuster. Maschinelle Lernmodelle können sowohl bekannte Angriffsmuster als auch anomale Verhaltensweisen erkennen, die auf neuartige Bedrohungen hinweisen könnten.

Schließlich bietet die Abfrageschicht die Möglichkeit, bestehende Netzwerkdaten zu durchsuchen, um schnell auf Bedrohungen zu reagieren. Die wahre Stärke der mehrschichtigen Erkennung liegt in ihrer Fähigkeit, Bedrohungen aus verschiedenen Perspektiven zu betrachten und eine umfassende Bedrohungssicht zu liefern.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!