Security Intelligence für Big Data

Denken wie ein Angreifer

Olav Strand ist seit November 2015 Managing Director bei der IPSoft GmbH. Er verfügt über eine breit gefächerte Expertise über IT-Automation, IT Service Management (ITSM), Echtzeitanalysen von Maschinendaten, kognitive Systeme und künstliche Intelligenz. Olav Strand ist seit 21 Jahren in verschiedenen leitenden Positionen im IT-Sektor tätig.
Obwohl sich die Internetsicherheit in den vergangenen zehn Jahren deutlich weiterentwickelt hat, zwingt die komplexer gewordene Bedrohungslandschaft die Anwender zum Umdenken.
Wer überwacht die kritischen Applikationen?
Wer überwacht die kritischen Applikationen?
Foto: fotolia.com/Gina Sanders

Mit den herkömmlichen Tools und Konzepten für IT-Security lassen sich die Gefahren im Cyberspace nicht mehr bewältigen. Traditionelle Perimeter-Verteidigungslinien wie Firewall, Anti-Viren-Software oder ID/IP-Systeme (Intrusion Detection / Prevention) haben sich stets als unzureichend erwiesen; gleiches gilt für den Bereich Security Information & Event Management (SIEM). Letzteres ist insbesondere nicht darauf ausgelegt, große Mengen historischer Daten schnell auszuwerten. Selbstredend hilft der Trichter- oder Reduktionsansatz der SIEM-Technologie dabei, das Datenvolumen zu verringern, das vom Sicherheitsteam zur Erkennung möglicher Angriffe analysiert werden muss. Allerdings nutzen Angreifer es eben gerade häufig aus, dass immer nur ein Teil aller Daten gleichzeitig analysiert werden kann. In großen IT-Unternehmen bestehen zudem trotz SIEM unerwünschte Silo-Strukturen zwischen den verschiedenen Abteilungen nach wie vor. Die Folge: Geschäftskritische Applikationen werden weiterhin von niemandem überwacht.

Datenanalyse

Ein mögliches Tools zur Datenanalyse: Splunk. Damit verschaffen sich Anwender einen Überblick über die aktuelle Sicherheitslage im eigenen Netz.
Ein mögliches Tools zur Datenanalyse: Splunk. Damit verschaffen sich Anwender einen Überblick über die aktuelle Sicherheitslage im eigenen Netz.
Foto: Splunk

Weil SIEM-Lösungen nicht dafür entwickelt worden sind, einen lange zurückliegenden Angriff im Licht neuer Informationen zu bewerten, sind neue Sicherheitswerkzeuge für große Datenmengen gefragt. Solche Tools prüfen große Mengen an "normalen" Aktivitätsdaten auf Muster, bei denen eine zeitliche, örtliche oder anderweitige Auffälligkeit besteht. Um diese "Security Intelligence" gewinnbringend einzusetzen, sind darüber hinaus Analyseexperten vonnöten, die sich in die Rolle des Angreifers versetzen, um die Identitäten, Ziele und Methoden potenzieller Gegner zu verstehen.

Annomalien finden

Analog zu Business-Intelligence-Lösungen, mit denen Unternehmen große Datenmengen analysieren, um mehr über ihre Kunden zu erfahren, benötigen Sicherheitsprofis spezielle Tools für die Überwachung der Infrastruktur. Sie müssen in der Lage sein, die netzwerk-, host-, und anwendungsbezogenen Muster der verschiedenen IT-Daten innerhalb ihres Kontextes zu überwachen. Nur so lässt sich erkennen, ob und wie sehr die IT-Umgebung von persistenter Malware befallen ist. Findet ein Angriff statt, ist das recht schnell durch anormale Host- und Netzwerkaktivitäten festzustellen.

Auf den Dashboards gibt Splunk Detailinformationen zu erkannten Attacken aus. Quelle, Kategorie und Schwere sind genau analysierbar.
Auf den Dashboards gibt Splunk Detailinformationen zu erkannten Attacken aus. Quelle, Kategorie und Schwere sind genau analysierbar.
Foto: Splunk

Mit einer Kombination aus Analytics und Datensicherheit können sich Sicherheitsverantwortliche von der konventionellen, eindimensionalen Angriffsbekämpfung lösen und eine modernere Security-Strategie entwickeln. Attacken lassen sich bereits im Vorfeld erkennen und Geschäftsrisiken minimieren. Gleichzeitig können unterschiedliche Alert-Arten dazu verwendet werden, sicherheitsrelevante Vorkommnisse auf den einzelnen Hosts voneinander zu unterscheiden.

Fazit

Sicherheitsteams müssen lernen, sich in die Angreifer hineinzuversetzen und geschäftliche Risiken in Beziehung zu konkreten Daten zu setzen. Nur, indem sie in die Gedankenwelt von Cyber-Tätern eintauchen und Attacken modellieren, die sich beispielsweise durch Spear-Phishing Zugriff auf die wichtigsten Unternehmenswerte verschaffen, können sie Daten-Assets und Risiken priorisieren. Eine solche Herangehensweise sorgt dafür, dass die IT-Sicherheit die wichtigsten Unternehmensziele schützt und auf sich ständig ändernde Bedrohungsszenarien vorbereitet ist. Eine umfassende Security-Intelligence-Lösung hilft, große Datenmengen zu überwachen und sorgt dafür, dass Unternehmen zwischen berechtigten Interaktionen mit ihren IT-Systemen und verdächtigen Verhaltensweisen unterscheiden können. (sh)

»

Der Autor

Olav Strand ist als Director Germany, Switzerland & Austria beim Datenanalyseanbieter Splunk tätig. Zuvor arbeitete er beim Startup Aveksa und bei BMC Software.