DET.4.2 Automatische Angriffserkennung

Detektion für IT-Systeme SOLLTE diese auf Anzeichen für Angriffe durch [einen automatisierten Mechanismus] überwachen.

Erläuterung

Wenn professionelle Tätergruppen Zugriff auf Systeme und Daten erhalten, nutzen sie diese zunehmend schneller für ihre Zwecke aus, z.B. um Daten abfließen zu lassen oder Ransomware zu verteilen. Zur Umsetzung können sowohl netz- als auch hostbasierte Erkennungssysteme (NIDS und HIDS) verwendet werden. Für die Detektion bei IT-Systemen ohne Installationsmöglichkeit wie Appliances, IoT-Geräte oder OT-Systeme kann ein kombinierter Ansatz aus Netzwerk- und Loganalyse sinnvoll sein. Angriffe können signaturbasiert, sowie durch Verhaltensanalyse und Anomalien erkannt werden. Die Anforderung kann auch mit bereits vorhandenen oder im System integrierten Angriffserkennungsmechanismen erfüllt werden. Zweckmäßig ist es Schwellwerte und Kategorien (Info, Warnung, Alarm) so festzulegen, dass Probleme frühzeitig erkannt werden können, aber beim Betriebspersonal keine Alarmmüdigkeit (alert fatigue) aufkommt. Hierzu ist es hilfreich die Ergebnisse regelmäßig auszuwerten und wenn nötig Korrekturmaßnahmen zu ergreifen.

1. Преглед

1.1 Препратки

• DER.1.A17 Automatische Reaktion auf sicherheitsrelevante Ereignisse (H)
• SYS.1.1.A27 Hostbasierte Angriffserkennung (H)
• SYS.1.9.A19 Erweitertes Monitoring des Terminalservers (H)
• SYS.2.5.A17 Erweitertes Monitoring der virtuellen Clients (H)
• SYS.4.4.A17 Überwachung des Netzverkehrs von IoT-Geräten (S)
• KONF.7.1 Echtzeitscanner
• KONF.7.2 Regelmäßige Scans
• KONF.7.3 Host-basierte Angriffserkennung
• KONF.7.4 Angriffserkennung anhand von Netzverkehr
• KONF.7.5 Alarmierung

1.2 Идентифицирани изисквания

1.3 Свързани регулации

2. Идентифицирани изисквания

3. Свързани регулации

Свързани задачи

• BSI_DE -

  Copyright by Bundesamt für Sicherheit in der Informationstechnik (https://www.bsi.bund.de/)