Warum die Anreicherung von Cybersecurity-Daten so wichtig ist

Ein Beispiel aus dem Alltag, dass sich auf Cybersecurity anwenden lässt: Sie stehen im Supermarkt und vergleichen die Nährwertangaben von zwei verschiedenen Müslis. Das mit Weizenkleie angereicherte Müsli enthält mehr B12-Vitamine als das zuckerhaltige Lieblingsmüsli. Als Erwachsener wissen Sie, dass Ihr Körper die zusätzlichen Vitamine in den angereicherten Kleieflocken braucht, auch wenn Sie morgens unbedingt diesen fruchtigen, zuckerhaltigen Kick wollen.
Im Sicherheitsbereich brauchen Unternehmensdaten ebenfalls diesen zusätzlichen Nährwert, damit IT-Experten und Führungskräfte Ereignisse besser korrelieren und analysieren können. Datenanreicherung bedeutet, dass Rohdaten mit Kontext versehen werden, um Erkenntnisse zu gewinnen und die Alarmmüdigkeit zu verringern.

Datenanreicherung: was ist das genau?

Datenanreicherung ist ein Prozess, bei dem Rohdaten um wertvolle Details aus verschiedenen externen Quellen ergänzt werden. Im Bereich der Cybersicherheit bedeutet dies die Kombination von Sicherheitsereignisdaten mit anderen relevanten Informationen, einschließlich des Kontexts über:

• Benutzer, z. B. geografischer Standort oder Zugriffsrechte
• Geräte, z. B. Betriebssysteme oder Software
• Datentypen, z. B. persönlich identifizierbare Informationen (PII), geschützte Gesundheitsinformationen (PHI) oder Karteninhaberdaten (mögliche Schwärzung dieser Daten zu Datenschutzzwecken)

Wenn Sicherheitsteams ihren Sicherheitsüberwachungen diesen Kontext hinzufügen können, sind sie in der Lage, Daten präziser zu korrelieren, um die Alarmtreue zu verbessern und die Alarmmüdigkeit zu verringern. Die Anreicherung von Sicherheitstelemetriedaten kann zum Beispiel Folgendes verbessern:

• Erkennung von Bedrohungen durch Einbeziehung von Bedrohungsdaten, um nach Indikatoren für eine Gefährdung und bekannten Angriffstaktiken, -techniken und -verfahren (TTPs) zu suchen
• Reaktionszeiten bei Vorfällen durch Verwendung des Kontexts zur Eingrenzung der Grundursache eines Vorfalls
• Risikomanagement durch Verwendung des Kontexts zur Verbesserung der Analysemodelle für die Erkennung von Anomalien

Durch die kontinuierliche Aktualisierung und Anreicherung von Daten können Unternehmen mit der sich entwickelnden Bedrohungslandschaft Schritt halten. Wenn sie beispielsweise die Zugriffsdaten eines Benutzers mit seinem geografischen Standort anreichern, kann das Sicherheitsteam potenziell gefährdete Anmeldedaten identifizieren, wenn sich der Benutzer von einer verdächtigen IP-Adresse oder einem verdächtigen Standort aus beim Netzwerk anmeldet.

Arten der Anreicherung von Cybersecurity-Daten

Die IT-Technologien und Cybersecurity-Tools eines Unternehmens erzeugen alle Protokolldaten, die helfen, die Sicherheitslage zu verstehen. Einige Beispiele für diese Daten sind:

• Fehlgeschlagene und erfolgreiche Anmeldungen
• Eingehender und ausgehender Netzwerkverkehr
• Bestands- und Schwachstellenprüfungsberichte
• API-Aufrufe

Diese Informationen geben zwar Aufschluss darüber, was vor sich geht, doch die Datenanreicherung ermöglicht tiefere Einblicke. Einige zusätzliche Kontexte für Cybersicherheitsdaten können sein:

• Bedrohungsdaten: Daten über Anzeichen einer Gefährdung aus externen Quellen wie Bedrohungsdaten-Feeds, die helfen, echte Bedrohungen zu erkennen.
• Geolokalisierung: Standortdaten für IP-Adressen, die bei der Erkennung potenzieller Sicherheitsbedrohungen aus bestimmten Regionen helfen.
• Historische Daten: Daten aus vergangenen Sicherheitsvorfällen, die dabei helfen, falsch positive Meldungen von echten Bedrohungen zu unterscheiden.
• Schwachstellenanreicherung: Informationen aus der Schwachstellendatenbank, die potenzielle Sicherheitsbedrohungen in Verbindung mit bekannten Sicherheitslücken aufzeigen.

Folgende 3 Vorteile ergeben sich aus der Anreicherung von Cybersecurity-Daten:

1. Verbesserte Erkennung von Bedrohungen
   Analysemodelle leben von Daten. Wenn Unternehmen ihren Protokolldaten Kontext hinzufügen, erhalten ihre Sicherheitsanalysemodelle ein besseres Verständnis der normalen, grundlegenden Benutzer-Aktivitäten und der IT-Umgebung. Durch die Anreicherung der Daten kann das Sicherheitsteam außerdem aussagekräftige Warnmeldungen erstellen, um Fehlalarme zu reduzieren.
2. Verbesserte Reaktion auf Vorfälle
   Die Datenanreicherung verbessert wichtige Untersuchungs- und Reaktionskennzahlen wie die mittlere Zeit bis zur Eindämmung (MTTC) und die mittlere Zeit bis zur Behebung (MTTR). Ihre Lösung zur Erkennung von Bedrohungen und Reaktion auf Vorfälle (TDIR) kann diesen Kontext nutzen, um einen Zeitplan für den Vorfall zu erstellen, der dem Sicherheitsteam hilft, den Angreifer aufzuspüren.
3. Geringere Speicherkosten
   Um den Kontext zu verbessern, müssen alle Daten an einem zentralen Ort gespeichert werden. Viele Unternehmen speichern ihre Telemetriedaten in einem Sicherheitsdatenpool. Wenn Unternehmen die Daten analysieren und anreichern, bevor sie sie an den Data Lake senden, können sie die kostengünstigere Speicherlösung nutzen und haben dennoch Daten für eine Untersuchung zur Verfügung, wenn sie sie benötigen.

Best Practices für die Anreicherung und Verwendung von Cybersicherheitsdaten

Die Datenanreicherung im Bereich der Cybersicherheit hilft dem Sicherheitsteam, potenzielle Sicherheitsvorfälle effektiver zu erkennen und darauf zu reagieren. Um den vollen Nutzen aus den Sicherheitsdaten zu ziehen, können Unternehmen diese Best Practices befolgen.

Alle Sicherheitsdaten zentralisieren
Die Zusammenführung von Protokolldaten ist der erste Schritt zur Anreicherung. Durch die Integration von Daten aus allen IT- und Sicherheitstechnologien an einem zentralen Ort können Unternehmen Ereignisse aus der gesamten Umgebung korrelieren und analysieren, um ihre Fähigkeiten zur Erkennung von Bedrohungen zu verbessern und schneller auf potenzielle Vorfälle zu reagieren.

Sicherheitstelemetrie normalisieren und analysieren
Um die Daten anzureichern, müssen alle Daten in einem gemeinsamen, strukturierten Format vorliegen. Beim Parsing- und Normalisierungsprozess werden die wichtigen Teile der Protokolle herausgefiltert und ihr Format standardisiert, sodass Sicherheitsteams Verbindungen zwischen Ereignissen herstellen können, um Erkenntnisse in Echtzeit zu gewinnen.

Bedrohungsdaten integrieren
Die Integration von Threat Intelligence-Feeds ermöglicht es Unternehmen, potenzielle Bedrohungen zu erkennen, bevor böswillige Akteure unbefugten Zugriff auf sensible Daten erlangen. Die Anreicherung der Daten mit Bedrohungsdaten ermöglicht dem Sicherheitsteam, Bedrohungen zuverlässiger zu erkennen und Fehlalarme zu verringern.

Intelligente Speicherung
Wenn Unternehmen einen Security Data Lake verwenden, reduzieren sie die Speicherkosten. Um flexibel die Daten während einer Untersuchung verwenden zu können, ist es wichtig, den Kontext in den Daten hinzuzufügen, bevor die Daten an das Speicher-Repository gesendet werden. So entstehen bereits geparste und normalisierte Daten für eine effektivere Suche.

Datenverarbeitung vereinfachen
Auch wenn Unternehmen alle Daten sammeln und anreichern, benötigen sie vielleicht nicht alles sofort. Um die angereicherten Daten effektiv und effizient zu nutzen, empfiehlt es sich eine Datenverwaltungslösung zu implementieren, mit der eine Trennung vorgenommen werden kann:

• Aktive Daten, die in Echtzeit für Dashboards, Ereigniswarnungen und die Erkennung von Anomalien verwendet werden
• Warme Daten (Warm Data), die gelegentlich verwendet werden, wie Betriebsprotokolle, historische IT-Leistungskennzahlen oder Ereignisprotokolle aus der Vergangenheit, die die Fehlerbehebung oder rückblickende Analysen unterstützen
• Archivierbare Daten, die für die langfristige Einhaltung von Vorschriften und für historische Analysen gespeichert werden

Nutzung von Analysen

Sobald Unternehmen ihre Daten angereichert haben, können sie Analysen integrieren, die ihnen helfen, anormale Aktivitäten zu identifizieren, die ein potenzieller Sicherheitsvorfall sein könnten. Bei verteilten, dezentralen Arbeitskräften nutzen böswillige Akteure zunehmend gestohlene oder durchgesickerte Anmeldeinformationen, um sich unbefugten Zugang zu verschaffen. Die Analyse zur Erkennung von Anomalien definiert die normale Ausgangslage der Umgebung, indem sie angereicherte Daten verwendet, um Benutzeranmeldeinformationen und Zugriffsberechtigungen mit dem geografischen Standort und anderen Informationen zu kombinieren und so potenzielle Bedrohungen zu identifizieren.

Datenanreicherung für Cybersecurity-Daten

Mit den Datenanreicherungsfunktionen von intelligenten Sicherheitslösungen können Unternehmen bestehende Protokolle und Sicherheitsereignisse mit wertvollem Kontext versehen und so ihre Sicherheitsabläufe verbessern. So eine Lösung integriert verschiedene Arten von Kontextinformationen, darunter Benutzeridentität, geografischer Standort und Gerätespezifikationen. Die Daten werden während des Parsing- und Normalisierungsprozesses angereichert, damit Unternehmen den Kontext enthalten, unabhängig davon, wo sie sie ursprünglich gespeichert haben.

Mit diesen angereicherten Daten können Unternehmen die Risikobewertung, die Lesbarkeit, die Suche und die Datenvisualisierung für eine zusammenhängende Analyse verbessern, die umfassende Einblicke in die Leistung und Sicherheit ihrer Systeme bietet.