Abgeschlossene Lösungen für die Erkennung breiter Kontexte
Übersicht
Wir führen neue Arten der endgültigen Lösung für „Broad Context Detections“ (BCDs) ein. Diese Lösungsarten ersetzen die bisherigen Optionen „Bestätigt“ und „Unbestätigt“ und bieten Ihnen eine präzisere und einheitlichere Möglichkeit, Ergebnisse zu erfassen, die Automatisierung voranzutreiben und das System im Laufe der Zeit zu verbessern.
In diesem Artikel werden die einzelnen geplanten Korrekturen erläutert, wann sie anzuwenden sind und wie sie sich auf das Systemverhalten auswirken werden, sobald die Funktion verfügbar ist.
Abgeschlossene Beschlüsse
Beim Schließen eines BCD stehen die folgenden Auflösungen zur Verfügung. Einige werden vom Benutzer manuell festgelegt, andere werden vom System automatisch angewendet.
Beschluss | Festgelegt von | Beschreibung |
|---|
Vorfall | Benutzer | Der BCD stellt ein Sicherheitsproblem dar und erfordert Maßnahmen. Wählen Sie diese Option aus, wenn Sie bestätigen, dass es sich bei dem BCD um einen tatsächlichen Vorfall oder eine unbefugte Aktivität handelt. Verwenden Sie diese Option nur, wenn Sie sicher sind, dass der BCD böswillig ist oder weitere Maßnahmen erfordert. |
Nicht eindeutig | Benutzer | Wählen Sie diese Option, wenn Sie aufgrund unzureichender Informationen oder fehlender Zusammenhänge nicht feststellen können, ob es sich bei dem BCD um ein echtes Sicherheitsproblem handelt. Es werden keine automatischen Maßnahmen ergriffen, und das BCD wird nicht für Schulungszwecke oder zur Automatisierung verwendet. Verwenden Sie diese Option nicht als Standard. |
Falsch-positiv | Benutzer | Es liegt ein Vorfall vor, der auf normalem Anwendungsverhalten oder einer Automatisierung beruht und wie ein normales, unbedenkliches Verhalten erscheint. Das Schließen als „False Positive“ hilft dem System beim Lernen, sodass identische Vorfälle in Zukunft automatisch geschlossen werden. |
Akzeptiertes Verhalten | Benutzer | Manchmal weisen scheinbar identische Fehlalarme Unterschiede in ihren Befehlszeilen- oder Pfadparametern auf, wodurch sie „nicht identisch“ sind. Wenn Sie den Vorfall als „akzeptiertes Verhalten“ schließen, wird ein Assistent zum Erstellen von Unterdrückungsregeln angezeigt, in dem Sie die Parameter mithilfe von Platzhaltern feinabstimmen können, um Fehlalarme noch effektiver zu unterdrücken. |
Automatisch akzeptiertes Verhalten | System | Das System hat den BCD aufgrund einer zutreffenden Ausblendregel automatisch geschlossen. Der BCD bleibt zu Prüfungs- und Compliance-Zwecken weiterhin sichtbar. Es sind keine Maßnahmen seitens des Benutzers erforderlich, Sie können die Ausblendregeln jedoch bei Bedarf überprüfen. |
Automatisches falsch-positives Ergebnis | System | Das System hat diesen BCD automatisch geschlossen, da er mit einem früheren Fehlalarm übereinstimmte. Es erfolgt keine weitere Überwachung. Falls Sie der Meinung sind, dass die Entscheidung falsch war, können Sie Ihre früheren Entscheidungen überprüfen. |
Die Wahl der richtigen Auflösung
Orientieren Sie sich an den folgenden Hinweisen, um die am besten geeignete Auflösung auszuwählen:
- Vorfall – Verwenden Sie diese Funktion, wenn Sie sicher sind, dass der BCD einen tatsächlichen Angriff oder eine unbefugte Aktivität darstellt.
- Nicht eindeutig – Verwenden Sie diese Option, wenn Sie den BCD geprüft haben, aber aufgrund fehlender Kontextinformationen nicht feststellen können, ob es sich um eine echte Bedrohung handelt.
- Falsch-positiv – Verwenden Sie diese Option, wenn die Erkennung fehlerhaft war oder derselbe Alarm immer wieder angezeigt wird, ohne dass dies sicherheitsrelevant ist.
- Akzeptiertes Verhalten – Verwenden Sie diese Option, wenn das Verhalten beabsichtigt und autorisiert war (z. B. eine geplante Administratoraktion), Sie jedoch keine Unterdrückungsregel erstellen möchten.
Hinweis: Vermeiden Sie es, „Inconclusive“ als Standardwert zu verwenden. Dieser Wert ist für Fälle vorgesehen, in denen der Kontext tatsächlich unzureichend ist. Eine übermäßige Verwendung mindert den Wert dieser Einstufung für das Systemlernen und zukünftige Verbesserungen.
Wie sich Auflösungen auf das Systemverhalten auswirken
Auflösungen sind nicht nur Bezeichnungen. Sie haben direkte Auswirkungen auf die Automatisierung und zukünftige Erkennungen:
- BCDs, die als „Incident“ abgeschlossen wurden, werden nicht zur Auslösung einer automatischen Unterdrückung verwendet. Sie dienen dazu, die Erkennungsgenauigkeit im Laufe der Zeit zu verbessern.
- BCDs, die als „nicht eindeutig“ abgeschlossen wurden, werden vom Training und von der Automatisierung ausgeschlossen.
- BCDs, die als „Falsch-positiv“ geschlossen wurden, können dazu führen, dass ähnliche zukünftige BCDs automatisch als „Automatisches Falsch-positiv“ geschlossen werden.
- BCDs, die als „Akzeptiertes Verhalten“ geschlossen wurden, können als Grundlage für die Erstellung einer Unterdrückungsregel dienen, wodurch zukünftige BCDs, die diesen Kriterien entsprechen, automatisch als „Automatisch akzeptiertes Verhalten“ geschlossen werden.
Hinweis: „Auto False Positive“ wird nicht ausgelöst, wenn ein vorheriges BCD bereits als Vorfall geklärt wurde. Dadurch wird verhindert, dass echte Bedrohungen automatisch abgetan werden.
Unterdrückungsregeln und zulässiges Verhalten
Das Schließen eines BCD als „akzeptiertes Verhalten“ unterdrückt ähnliche BCDs in Zukunft nicht automatisch. Um zu verhindern, dass ähnliche BCDs erneut auftreten, müssen Sie eine Unterdrückungsregel erstellen.
Wenn Sie ein BCD als „Akzeptiertes Verhalten“ schließen, werden Sie aufgefordert, eine Unterdrückungsregel zu erstellen, sofern das BCD erkannte, nicht unterdrückte Schlüsselerfassungen enthält. Sie können Unterdrückungsregeln auch manuell unter „Sicherheitskonfigurationen“ → „Automatisierte Aktionen“ → „Unterdrückungsregeln“ erstellen und verwalten.
Hinweis: Weitere Informationen zu Unterdrückungsregeln finden Sie im Benutzerhandbuch zu Unterdrückungsregeln.
E-Mail-Benachrichtigungen
Die verschiedenen Lösungsarten wirken sich wie folgt auf das Verhalten der E-Mail-Benachrichtigungen aus:
- Vorfall – löst dasselbe E-Mail-Benachrichtigungsverhalten aus wie die frühere Option „Lösung bestätigt“.
- „Nicht eindeutig“ – löst dasselbe E-Mail-Benachrichtigungsverhalten aus wie die frühere Lösung „Unbestätigt“.
- Alle anderen Beschlüsse unterliegen den üblichen Benachrichtigungsvorschriften.
Übergang von früheren Beschlüssen
Die Beschlussarten „Bestätigt“ und „Unbestätigt“ wurden durch die in diesem Artikel beschriebenen Beschlussarten ersetzt. Es gilt folgende Zuordnung:
- Bestätigt → Verwenden Sie „Vorfall“ für echte Sicherheitsvorfälle oder „Zulässiges Verhalten“ für autorisierte Aktivitäten.
- Unbestätigt → Verwenden Sie „Nicht eindeutig“, wenn der Kontext für eine Entscheidung nicht ausreicht.
BCDs, die vor dieser Änderung mit früheren Lösungsarten abgeschlossen wurden, sind davon nicht betroffen. Ihre Lösungen bleiben unverändert.