CyberGlossary

Verteidigung und Betrieb

Detektive Kontrollen

Auch bekannt als: Erkennungskontrollen, Überwachungskontrollen

Definition

Sicherheitsmaßnahmen, die bösartige Aktivitäten, Richtlinienverstöße oder Anomalien nach ihrem Auftreten in einer Umgebung erkennen und alarmieren.

Detektive Kontrollen sind Schutzmaßnahmen, die Sicherheitsvorfälle aufdecken und melden, statt sie direkt zu unterbinden. Dazu zählen SIEM-Korrelationsregeln, IDS-Sensoren, EDR-Telemetrie, Dateiintegritätsüberwachung, Audit-Logs und Anomalie-Analytik. Ihr Wert liegt darin, die Verweilzeit zwischen Kompromittierung und Entdeckung zu verkürzen, die Incident Response zu speisen und forensische Beweise zu sichern. Sie ergänzen präventive Kontrollen: Wenn die Prävention versagt, sorgt die Detektion dafür, dass der Vorfall nicht unbemerkt bleibt. Ihre Wirksamkeit wird über MITRE-ATT&CK-Abdeckung, Alarmqualität und Kennzahlen wie MTTD gemessen.

Beispiele

  • SIEM-Regel, die ausgelöst wird, wenn sich ein Dienstkonto erstmals interaktiv anmeldet.
  • EDR-Alarm bei verdächtiger PowerShell-Ausführung, die aus einem Word-Dokument heraus gestartet wird.

Verwandte Begriffe