CyberGlossary

Netzwerksicherheit

Anomaliebasierte Erkennung

Auch bekannt als: Verhaltensbasierte Erkennung, Heuristische Erkennung

Definition

Ein Erkennungsansatz, der eine Baseline normalen Verhaltens aufbaut und Abweichungen davon als potenziell bösartig kennzeichnet.

Anomaliebasierte Erkennung lernt — über statistische Modelle, Heuristiken oder Machine Learning —, wie "normal" für ein Netzwerk, einen Host, einen Benutzer oder eine Anwendung aussieht, und alarmiert, wenn beobachtetes Verhalten deutlich davon abweicht. Sie ergänzt die signaturbasierte Erkennung, weil sie unbekannte Bedrohungen, internen Missbrauch, neue Malware und schleichende Angriffe sichtbar macht, für die noch keine Signatur existiert. Umsetzungen finden sich in UEBA, NDR/XDR-Analysen, NetFlow-Verhaltens-Baselining und DNS-Profilanalyse. Im Gegenzug entstehen mehr Falschalarme — legitime Änderungen können anomal wirken —, weshalb sorgfältig gewählte Baseline-Fenster, Feedback-Schleifen, Schwellwerte und ein Analystenprozess nötig sind.

Beispiele

  • Eine UEBA meldet ein Servicekonto, das plötzlich um 02:00 Uhr aus einem neuen Land authentifiziert.
  • Ein NDR schlägt Alarm, weil das ausgehende Volumen eines Datenbankservers sich ohne Deployment verdreifacht.

Verwandte Begriffe