Jeder Anbieter von Sicherheitslösungen verspricht, Angriffe zu erkennen. Nur die wenigsten können belegen, welche Angriffstechniken sie bei Ihnen tatsächlich erkennen und welche nicht. Der Unterschied zwischen behaupteter und gemessener Erkennungsabdeckung ist einer der ehrlichsten Qualitätsmaßstäbe beim SOC-Vergleich. Dieser Beitrag erklärt, wie sich Erkennung messbar machen lässt und welche Fragen Sie jedem Anbieter stellen sollten. Er ist der Auftakt unserer Reihe „Bei uns Standard" über Leistungen, die bei uns zum Paket gehören und anderswo Aufpreis kosten.
In Angeboten für Sicherheitsüberwachung steht sinngemäß fast immer derselbe Satz: „Wir erkennen Bedrohungen in Echtzeit." Was fehlt, ist der Beleg. Welche Angriffstechniken deckt die Überwachung konkret ab? Welche Datenquellen sind dafür angebunden? Und woher wissen Sie, dass die Erkennung in Ihrer Umgebung funktioniert, nicht nur im Prospekt?
Die unbequeme Wahrheit: Erkennungsabdeckung ist keine Eigenschaft eines Produkts, sondern das Ergebnis aus Datenquellen, Regelwerk und laufender Pflege in einer konkreten Umgebung. Dieselbe Software erkennt beim einen Kunden das Zehnfache dessen, was sie beim anderen erkennt, je nachdem, welche Protokolle angebunden sind und wie gut die Regeln gepflegt werden.
MITRE ATT&CK ist ein frei verfügbarer, international anerkannter Katalog realer Angriffstechniken, von Phishing über das Auslesen von Zugangsdaten bis zur seitlichen Ausbreitung im Netzwerk. Jede Technik hat eine Nummer und ist dokumentiert, inklusive der Frage, mit welchen Daten sie sich erkennen lässt.
Damit wird aus dem vagen Versprechen „wir erkennen Angriffe" eine überprüfbare Aussage: Für jede einzelne Technik lässt sich beantworten, ob die nötigen Datenquellen angebunden sind, ob eine Erkennungsregel existiert und ob diese Regel in der Kundenumgebung nachweislich auslöst. Genau diese Betrachtung je Technik ist der Kern einer ehrlichen Abdeckungsmessung.
In unserem SOC-Betrieb messen wir die Erkennungsabdeckung je Kunde täglich über eine Reifegradmatrix: 189 Angriffstechniken nach MITRE ATT&CK, gruppiert in 15 Detektionsbereiche, von der Überwachung administrativer Skripte bis zur Web-Firewall. Für jeden Bereich ist sichtbar, was bereits erkannt wird und welche Datenquelle als Nächstes angebunden werden sollte, verständlich erklärt statt als Expertenmatrix.
Drei Bausteine machen diese Messung belastbar:
Ein häufiges Missverständnis: Wer mehr erkennt, produziert mehr Alarmmeldungen. Das Gegenteil muss der Anspruch sein. Breite Erkennung funktioniert im Betrieb nur mit konsequenter Alarmveredelung: Zusammenfassen zusammengehöriger Meldungen, Anreichern mit Kontext und Aussortieren von Rauschen, bevor ein Mensch die Meldung sieht.
Auch das lässt sich messen statt behaupten: In unserem Betrieb haben wir die offenen Alarme der Datei-Überwachung durch eine mehrstufige Filterkette um 89 Prozent reduziert, bei unveränderter Erkennungstiefe und mit Probealarmen nachgewiesener Alarmierungskette. Die Zahl der Alarme ist kein Qualitätsmaß, die Relevanz der Alarme ist es.
MITRE ATT&CK ist der international anerkannte, frei verfügbare Katalog realer Angriffstechniken und der De-facto-Standard, um die Erkennungsfähigkeit einer Sicherheitsüberwachung messbar und vergleichbar zu machen.
Eine solche Zusage ist ein Warnsignal: Vollständige Erkennung existiert nicht, und seriöse Anbieter behaupten sie nicht. Belastbar ist nur eine gemessene Aussage je Technik und Datenquelle, inklusive der ehrlichen Lücken und eines Plans, sie zu schließen.
Ja. Fragen Sie nach einem Abdeckungsnachweis je Angriffstechnik und lassen Sie einzelne Techniken in einem abgestimmten Test nachspielen. Löst kein Alarm aus, haben Sie eine belegte Lücke, und eine gute Verhandlungsgrundlage.
Die Regeln sind Teil der Plattform und kosten keinen Aufpreis. Wirksam wird eine Regel, sobald die passende Datenquelle angebunden ist und Telemetrie liefert, deshalb gehört zur ehrlichen Darstellung immer beides: der mitgelieferte Regelbestand und die Messung, was davon in Ihrer Umgebung aktiv ist.
Sie möchten wissen, wie es um die Erkennungsabdeckung in Ihrer Umgebung steht? In einem kostenlosen Analysegespräch zeigen wir Ihnen, wie eine Messung für Ihre Systeme aussieht und welche Datenquellen den größten Zugewinn bringen. Einen Gesamtüberblick über unser Vorgehen gibt der Leitfaden Managed SOC für den Mittelstand.
Wir finden die passende Sicherheitslösung für Ihr Unternehmen.