Heutige Sicherheitssysteme basieren in den meisten Fällen auf Mustererkennung, um sicherheitskritische Vorfälle mitzubekommen. Dies kann aber nur gelingen, wenn vor einem Ereignis dieses schon bekannt ist. Ein „Hase-und-Igel“-Spiel beginnt, das oftmals vom Angreifer gewonnen wird. Daher ist eine Anomalieerkennung, die anhand von Sicherheitsvorfällen selbstständig lernt, wertvoller. Im Folgenden ein Überblick über Forschungsansätze und Herstellerlösungen.

Jedes Unternehmen, unabhängig von der Größe, besitzt heute eine IT-Infrastruktur, die zumindest mit Antivirenlösungen, Firewalls, Monitoring- und Backup-Systemen gesichert ist. Oftmals kommen Remote-Zugänge über ein VPN-Gateway hinzu, die es externen Mitarbeitern ermöglichen, von außen sicher auf das Unternehmensnetz und seine Dienste zuzugreifen. Sind höhere Ansprüche vorhanden, so wird auf Zugangskontrolle mittels Network Access Control (NAC) oder Angriffserkennung über Intrusion-Detection-(IDS) und Intrusion-Prevention-Systeme (IPS) gesetzt. Allerdings sind die verschiedenen Systeme oft als Insellösungen implementiert, insbesondere, wenn sie nicht vom gleichen Hersteller kommen. Das erschwert auch die Erkennung von Angriffsmustern. Aus diesem Grund sind sog. SIEM-Systeme (Security Information and Event Management) entwickelt worden, um systemübergreifend den aktuellen Sicherheitsstatus auswerten zu können. Über sie lassen sich auch Richtlinien definieren, anhand derer Vorfälle zu Compliance-Anforderungen überwacht werden können. Idealerweise beziehen SIEM-Lösungen auch andere Sicherheitssysteme über Schnittstellen ein und werten vorhandene Logs aus. Oft fehlen allerdings Möglichkeiten, eine automatisierte Bearbeitung von relevanten Sicherheitsvorfällen abzubilden. Ebenso sind die Systeme meist nur von Systemexperten konfigurierbar.

Lesen Sie in dem neuen NET-Artikel von Dr. Detken, wie das Forschungsprojekt CLEARER diese Problematik löst und welche Herstellerlösungen bereits am Markt vorhanden sind.