Anomaliebasierte Erkennung.

Die anomaliebasierte Erkennung lernt, wie "normal" für ein Netzwerk, einen Host, einen Benutzer oder eine Anwendung aussieht — mit statistischen Modellen, Heuristiken oder maschinellem Lernen — und alarmiert, sobald die beobachtete Aktivität deutlich von dieser Baseline abweicht. Sie ergänzt die signaturbasierte Erkennung, weil sie unbekannte Bedrohungen, Insider-Missbrauch, neuartige Malware und getarnte Angriffe aufdecken kann, die keine Signatur beschreibt. Umsetzungen sind UEBA, NDR/XDR-Analytik, verhaltensbasiertes Baselining auf NetFlow-Basis und DNS-Traffic-Profiling.

Die Idee geht auf Dorothy Dennings "An Intrusion-Detection Model" (1987, IEEE TSE) zurück, das erstmals vorschlug, Subjekte statistisch zu profilieren und bei Abweichung zu alarmieren. Ihre bleibende Schwäche quantifiziert der Basisraten-Fehlschluss: Stefan Axelssons Analyse von 2000 zeigte, dass bei extrem seltenen bösartigen Ereignissen im Vergleich zum gutartigen Verkehr selbst ein sehr genauer Klassifikator überwiegend Fehlalarme produziert, weil die winzige A-priori-Wahrscheinlichkeit von der Falsch-Positiv-Rate überflutet wird. Deshalb erfordern Anomalie-Engines sorgfältige Baselining-Fenster, Rückkopplungsschleifen und Analysten-Triage. Moderne Deployments engen das Problem ein, indem sie Anomalien gegen bekanntes Angreiferverhalten (MITRE ATT&CK) bewerten, schwache Signale zu einem Risiko-Score verketten und reine Anomalie-Erkennung hochwertigen Zielen vorbehalten — Servicekonten, Domänencontrollern, geschäftskritischen Datenbanken — wo die Baseline stabil ist und jede Drift bedeutsam.

flowchart LR
  A[Telemetrie:<br/>Logs, NetFlow, Auth] --> B[Lernphase:<br/>Baseline-Profil aufbauen]
  B --> C[Baseline-Modell]
  D[Live-Aktivität] --> E{Abweichung ><br/>Schwellwert?}
  C --> E
  E -->|Nein| F[Baseline verstärken]
  F --> C
  E -->|Ja| G[Anomalie / Risiko-Score auslösen]
  G --> H{Analysten-Triage}
  H -->|Echtes Positiv| I[Untersuchen & reagieren]
  H -->|Falsch-Positiv| J[Schwellwert anpassen / Feedback]
  J --> C

Der Preis sind mehr Fehlalarme — legitime Änderungen können anomal wirken —, daher hängt der Erfolg von Tuning, Anreicherung und dem Zurückspeisen der Analysten-Urteile in das Modell ab, statt jede Abweichung als Vorfall zu behandeln.