Managed Detection and Response Datenzentrierter Ansatz zur Anomalie­erkennung

Herkömmliche Security Operations Center (SOC) stehen vor zahlreichen Herausforderungen. Neben dem globalen Fachkräftemangel zählen dazu vor allem die wachsende Menge und Komplexität von Sicherheitsdaten. Dazu gehört ebenso die Notwendigkeit, Bedrohungen schneller und genauer zu erkennen, zu analysieren und auf sie zu reagieren. Traditionelle Tools und Technologien sind dazu nicht mehr in der Lage.

Um Bedrohungen schneller zu erkennen und auf sie zu reagieren, steigen viele Unternehmen daher inzwischen auf MDR/XDR-Lösungen um, mit denen sich die Zeitspanne zwischen der Erkennung von Bedrohungen sowie der Reaktion darauf verkürzen lässt. Das hilft den Sicherheits­verantwortlichen, ihre Cyber-Abwehr zu stärken und die Risiken zu reduzieren.

Solche Verbesserungen sind dringend notwendig. Die Bedrohungslandschaft entwickelt sich so schnell, dass sich die wachsenden Gefahren nicht mehr überwinden, sondern nur noch eindämmen lassen. Ein großes Problem für die Sicherheitsverantwortlichen ist nach wie vor Ransomware. Weitere Risiken bestehen in Betrugsversuchen sowie in der Notwendigkeit, sich in einer immer komplexeren Gesetzeslandschaft zurechtzufinden. Betrug sowie Angriffe auf kritische Infrastrukturen gehören aktuell zu den größten Gefahren. Phishing-Attacken, die mithilfe von Social Engineering auf die Finanzabteilungen von Unternehmen abzielen, waren schon immer eine große Herausforderung. Aber durch den Einsatz von künstlicher Intelligenz (K) werden sie immer raffinierter und skalierbarer. Selbst für das geschulte Auge ist es schwer, eine Phishing-E-Mail von einer „echten“ Mail zu unterscheiden. Den Unternehmen wird zunehmend bewusst, dass sich Investitionen in die Sicherheitsinfrastruktur und Maßnahmen zur Erkennung von und die Reaktion auf Bedrohungen auszahlen. Die größte Herausforderung besteht jedoch darin, mit dem rasanten Tempo des technologischen Wandels Schritt zu halten.

Die Grenzen herkömmlicher SOCs

Im SOC manifestiert sich dies in den Bemühungen der Sicherheitsteams, ihre Abläufe und Abwehrmaßnahmen so schnell wie möglich an den technologischen Wandel anzupassen. Der Standardprozess für ein traditionelles internes SOC oder ein ausgelagertes Security-Management besteht darin, mithilfe einer Vielzahl von Tools und Technologien Anomalien zu erkennen und zu untersuchen. Allerdings erfolgt das isoliert vom Kontext der Vorfälle. Damit besteht die Gefahr, dass das Gesamtbild eines Angriffs unvollständig ist und Bedrohungen übersehen werden. Zudem kostet es viel Zeit, falsche Alarme von True Positives zu unterscheiden.

Der Bedarf an einem zukunftssicheren Modell, das sich flexibel an die Bedrohungslandschaft anpasst, ist wahrscheinlich einer der Hauptgründe für die zunehmende Verbreitung von MDR-Diensten der neuen Generation. Sie werden häufig von XDR-Plattformen unterstützt. Auf diese Weise lässt sich eine unbegrenzte Menge an Daten automatisch erfassen, normalisieren, anreichern und mit anderen Geschäftsdaten in Beziehung setzen. So entsteht ein Gesamtbild, das die Erkennung von Anomalien, die Implementierung von Sicherheitsmaßnahmen und die Analyse der wichtigsten Bedrohungen beschleunigt.

Notwendigkeit eines datengesteuerten Ansatzes

Mit der neuen MDR-Generation wandelt sich der Umgang mit Daten grundlegend. Große Datenmengen werden unabhängig von Datentyp und -format aufgenommen und zentral in einem Data Lake gespeichert. All diese Informationen lassen sich für die Erkennung, Kontextualisierung und Visualisierung nutzen. Im Gegensatz zur herkömmlichen SIEM-Technologie zahlen die Kunden bei diesem Ansatz nicht mehr je nach Menge der Daten, die sie an ihren Sicherheitsanbieter weiterleiten, sondern nach der Zahl der zu schützenden Assets. Dadurch müssen sie sich nicht mehr auf bestimmte Datensätze beschränken und riskieren, relevante Informationen zu verpassen. Es steht eine große Menge an detaillierten Daten zur Verfügung, die sich mithilfe von KI korrelieren und in einen Zusammenhang bringen lassen. Das bedeutet auch, dass die Sicherheitsexperten die Alerts nicht mehr einzeln analysieren und an den Kunden weiterleiten. Sie gehen vielmehr einen Schritt zurück und betrachten jeden Vorfall im Kontext des Angriffs.

Angriffsfälle: Schnellere und umfassendere Untersuchung von Vorfällen

Mit diesem Ansatz lassen sich nicht nur mehr Anomalien erkennen. Es sind auch gründlichere Untersuchungen möglich. Darüber hinaus liefert das Dashboard einer MDR-Lösung der nächsten Generation neue Funktionen wie das dynamische Risiko-Management sowie Berichte über das Sicherheitsverhalten der Mitarbeiter. Dadurch können die Teams, die einen Prozess verwalten, schnell herausfinden, ob es sich tatsächlich um einen kriminellen Angriff oder lediglich um den Anwendungsfehler eines Nutzers handelt. Sie sehen sofort, ob nur ein Computer oder mehrere betroffen sind. Und sie können beurteilen, wie ernst die jeweilige Attacke ist. Auch gescheiterte Angriffe werden angezeigt. Denn der Versuch, eine Schwachstelle auszunutzen, ist immer mit dem Risiko verbunden, dass der Angreifer seine Attacke zu einem späteren Zeitpunkt wiederholen wird. Durch die Analyse großer Mengen an unterschiedlichen Daten lassen sich also Anomalien und Schwachstellen proaktiv erkennen.

Mehrwert durch den Einsatz eines Data Lakes

Das Vorhalten eines Data Lakes beschleunigt aber nicht nur die schnellere Erkennung von Sicherheitsvorfällen und die Reaktionen darauf. Der umfangreiche Datenspeicher lässt sich auch für andere Zwecke nutzen – etwa, um wichtige Erkenntnisse aus Bereichen außerhalb des Sicherheitsbetriebs zu gewinnen. Ein Security-Team könnte beispielsweise anhand des Daten-Pools herausfinden, wie viele USB-Sticks im Unternehmen im Einsatz sind oder wie viele Top-Manager in einem bestimmten Zeitraum Phishing-Mails erhalten haben.

Anforderungen an MDR der nächsten Generation

Der innovative Sicherheitsansatz auf Basis einer schlüsselfertigen MDR-Lösung ermöglicht es Unternehmen unabhängig von ihrer Größe, ihre interne Security zu verbessern. Durch bessere verwertbare Erkenntnisse und ein hohes Maß an Transparenz können sich die Experten darauf konzentrieren, die Bedrohungslandschaft, die neuesten Entwicklungen in der Sicherheitstechnologie und den jeweiligen geschäftlichen Kontext ihrer Kunden besser zu verstehen. Dadurch lässt sich die Komplexität einer effektiven Gefahrenerkennung und -reaktion reduzieren.

Um wirklich effektiv zu sein, sollten Unternehmen MDR durch zusätzliche Dienste und Programme ergänzen, die die Widerstandsfähigkeit erhöhen – und offensive und defensive Sicherheitstests sollten ein wesentlicher Bestandteil davon sein.

Die wirksamste Art und Weise, die offensive Sicherheit in ein internes oder ausgelagertes SOC zu integrieren, besteht in der Implementierung eines sogenannten Purple-Team-Programms. Bei diesem kooperativen Ansatz arbeiten die Teams für die defensive und die offensive Sicherheit (blaues und rotes Team) zusammen, um die Reaktionen auf potenzielle Sicherheitsverletzungen zu üben und die Sicherheitskontrollen auf ihre Wirksamkeit zu prüfen. Während das blaue Team für MDR zuständig ist und in der Regel aus Mitarbeitern des Sicherheitsdienstleisters besteht, führt das rote Team offensive Security-Tests durch. Bei den gemeinsamen Übungen eines Purple Teams lassen sich Erkenntnisse gewinnen, die weit über herkömmliche Reports hinausgehen und auf diese Weise die Abwehr deutlich verbessern.

Fazit

Die Bedeutung des Zusammenhangs, in dem ein Angriff steht, ist nicht zu unterschätzen. Die Sicherheitsteams müssen nicht mehr Alert für Alert bearbeiten, sondern sie erhalten ein Gesamtbild, das einen Kontext liefert – über Abteilungs- und Ländergrenzen sowie Zeitzonen hinweg. Das bedeutet, sie können ihre Abwehrmaßnahmen schneller und gezielter umsetzen als traditionelle SOCs. Auf diese Weise versetzen sie ihr Unternehmen in die Lage, die Risiken und Auswirkungen von Sicherheitsverletzungen zu minimieren.

Mit der Auflösung der Perimetersicherheit, dem Aufkommen immer neuer Kontrollen und wachsenden Angriffsflächen steht heute mehr auf dem Spiel als je zuvor. Ein datengesteuerter Ansatz, der fortschrittliche Analysen von einer einzigen Plattform aus liefert, ist eine überzeugende Antwort auf die neuen Herausforderungen.

Über den Autor: Olivier Vareilhes ist Senior Director DACH bei Kudelski Security.

(ID:50071177)