Definition Breach Detection Was ist Breach Detection?

Anbieter zum Thema

Insider Research

Breach Detection umfasst Konzepte und Verfahren zum Aufspüren von Sicherheitsverletzungen oder Datenpannen. Ziel ist es, Einbrüche in Systeme und Netzwerke in einer möglichst frühen Phase zu erkennen, um Gegenmaßnahmen einzuleiten, die die Schadensauswirkungen der Sicherheitsverletzung minimieren.

Breach Detection ist der Vorgang des Erkennens von Sicherheitsverletzungen oder Datenpannen. Ziel von Breach Detection ist es, Einbrüche in Systeme und Netzwerke in einer möglichst frühen Phase zu erkennen. So können entsprechende Gegenmaßnahmen eingeleitet werden, um die potenziellen Schadensauswirkungen der Sicherheitsverletzung oder Datenpanne für ein Unternehmen oder eine Organisation zu minimieren.

Wichtig festzuhalten ist, dass Breach Detection erst anschlägt, wenn eine erste Form einer Sicherheitsverletzung tatsächlich aufgetreten ist. Das heißt, es muss ein Versuch oder eine gewisse Form der Kompromittierung eines Systems gerade stattfinden. Breach Detection versucht, Anzeichen oder Spuren einer Sicherheitsverletzung so früh wie möglich zu erkennen und schlägt bei einem solchen Ereignis Alarm. Es ist zudem möglich, bereits erfolgte Sicherheitsverletzungen oder Datenpannen im Nachhinein zu erkennen, indem beispielsweise das Darknet automatisiert nach gestohlenen oder offengelegten Daten wie Zugangskennungen durchsucht wird.

Breach-Detection-Systeme – ihre Funktionsweise und Erkennungsmechanismen

Lösungen, die das Konzept von Breach Detection technisch umsetzen und verschiedene Verfahren und Technologien zur Erkennung von Sicherheitsverletzungen oder Datenpannen bereitstellen, werden als Breach-Detection-Systeme bezeichnet. Sie ergänzen andere Sicherheitskonzepte und Sicherheitslösungen wie Intrusion Prevention Systeme, Firewalls oder Antivirensoftware, die Sicherheitsbedrohungen wie das Eindringen in Systeme proaktiv verhindern und abwehren sollen. Anspruch eines Breach-Detection-Systems ist es, ein Eindringen in ein Netzwerk oder in ein System in einer sehr frühen Phase der Cyber Kill Chain aufzuspüren. Im Optimalfall schlagen die Systeme bereits in der Aufklärungsphase (Reconnaissance) beziehungsweise beim Auskundschaften eines Systems oder einer Person oder Personengruppe Alarm und ermöglichen es so, die Einbruchskette durch entsprechende Maßnahmen zu unterbrechen.

Je nach technischer Umsetzung einer Breach-Detection-Lösung wird intern und/oder extern nach Sicherheitsverletzungen und Datenpannen gesucht. Einige Breach-Detection-Systeme konzentrieren sich hauptsächlich auf das Untersuchen des Netzwerkverkehrs, andere arbeiten endgerätebasiert mithilfe von lokal installierten Agenten und versuchen, Anzeichen von Sicherheitsverletzungen durch Scannen der dort ablaufenden Aktivitäten und Prozesse zu erkennen.

Zu den üblichen Verfahren und Methoden zum Aufspüren von Indikatoren von Sicherheitsverletzungen gehören das Analysieren des Netzwerkverkehrs, das Auswerten von Logfiles, die Überwachung von Hostprozessen und einiges mehr. Für das Detektieren einer Sicherheitsverletzung kommen unter anderem intelligente Algorithmen, Verhaltensanalysen, Heuristiken und Verfahren der Künstlichen Intelligenz und des Maschinellen Lernens zum Einsatz.

Typische (frühe) Indikatoren für Sicherheitsverletzungen sind zum Beispiel:

• ungewöhnliche Netzwerkaktivitäten (beispielsweise ungewöhnlich hoher Datenverkehr, Verbindungen zu unbekannten Zielen und anderes)

• ungewöhnliche Account-Aktivitäten (viele ungültige Login-Versuche, Login-Versuche außerhalb der üblichen Geschäftszeiten, ungewöhnlich viele Passwortrücksetzungen und anderes)

• ungewöhnlicher E-Mail-Verkehr (ungewöhnlich hohes E-Mail-Aufkommen, E-Mails mit verdächtigen Anhängen oder Links, E-Mails von unbekannten Absendern oder E-Mail-Anbietern und anderes)

• außergewöhnliche Verhalten der Systeme oder ungewöhnliche Leistungsschwankungen (schlechte Leistung von Rechnern, ungewöhnliche niedriger Netzwerkdurchsatz und anderes)

• unerwartete Daten und Dateiaktivitäten (ungewöhnliche Abfragen oder Aktionen in Datenbanken, Dateiübertragungen zu ungewöhnliche Zeiten, veränderte oder fehlende Dateien oder Daten, unerwartete Verschlüsselung von Dateien, ungewöhnliche Nutzung von externen Datenträgern und anderes)

Einige Breach-Detection-Systeme stellen auch Funktionen bereit, mit denen sich späte Indikatoren oder sogar bereits erfolgte Datenpannen noch nachträglich aufspüren lassen. Sie durchsuchen zum Beispiel das Dark Web oder einschlägige Foren und Messenger-Kanäle automatisiert nach gestohlenen oder unerwünscht offengelegten Daten. Dieser Vorgang wird auch als Dark Web Monitoring oder Data Breach Monitoring bezeichnet. Stellen die Systeme fest, dass beispielsweise Kundendaten eines Unternehmens, interne Dokumente, personenbezogene Daten, E-Mail-Adressen oder Zugangsdaten im Dark Web veröffentlicht oder zum Kauf angeboten werden, schlagen sie Alarm. So hat das Unternehmen die Information, dass eine Sicherheitsverletzung und ein Datenabfluss stattgefunden haben muss, und kann seine Systeme und Netzwerke nach möglichen Eindringlingen oder Kompromittierungen untersuchen und entsprechend absichern.

Vorteile durch die Implementierung von Breach Detection

Die Durchführung von Breach Detection und die Implementierung einer Breach-Detection-Lösung kann zahlreiche Vorteile mit sich bringen. Durch das Aufspüren von Sicherheitsverletzungen oder Datenpannen in einer möglichst frühen Phase können bereits sehr früh entsprechende Gegenmaßnahmen getroffen werden, um die Schadensauswirkungen für das Unternehmen zu minimieren. Angriffsketten lassen sich durchbrechen und das weitere Eindringen und die Kompromittierung der Systeme verhindern. Die Vorteile durch Breach Detection sind kurz zusammengefasst folgende:

• Angriffsketten lassen sich durchbrechen und stoppen

• eventuell über längere Zeit unerkanntes Agieren von Angreifern kann verhindert werden

• die Auswirkungen einer Sicherheitsverletzung oder einer Datenpanne lassen sich reduzieren

• finanzielle Schäden einer Sicherheitsverletzung oder Datenpanne können minimiert werden

• Ausfälle von Systemen werden verhindert oder verkürzt

• Geschäftsprozesse werden geschützt und können aufrechterhalten werden

• die Produktivität des Unternehmens bleibt erhalten

• die Reputation eines Unternehmens wird geschützt und das Kundenvertrauen bleibt erhalten

• gesetzliche Anforderungen oder strenge Compliance-Richtlinien bestimmter Branchen lassen sich erfüllten

• durch Datenschutzverletzungen verursachte Strafen können vermieden werden

(ID:50065876)