Was ist Triage bei Alarmen?
Triage (Alarmbewertung) heißt, eingehende Alarme nach Dringlichkeit zu ordnen und zuerst die wichtigsten zu bearbeiten. Ohne Triage geht der eine echte Angriff in hundert harmlosen Meldungen unter.
Ein Team einer Sparkasse bekommt an einem Morgen 200 Alarme. Es kann nicht alle sofort lesen. Es braucht eine Regel für die Reihenfolge.
Am Ende dieser Lektion
Notiz
Ich kann Alarme nach Schwere und Wichtigkeit des Systems in eine Reihenfolge bringen.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Alarm | eine Meldung, dass eine Regel etwas Verdächtiges gefunden hat | |
| Schwere | wie schlimm ein Ereignis wäre, wenn es stimmt | 1 bis 4 |
| Wichtigkeit | wie viel am betroffenen System hängt | 1 bis 5 |
| Fehlalarm | ein Alarm, hinter dem kein Angriff steckt | |
| Triage | die Alarme nach Dringlichkeit ordnen | |
| Warteschlange | die geordnete Liste der Alarme, die noch offen sind |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein Alarm ist ein Verdacht und kein Beweis
Eine Regel meldet einen Alarm, wenn Zeilen zu ihrem Muster passen. Ob wirklich ein Angriff dahintersteckt, weiß die Regel nicht.
Viele Alarme sind Fehlalarme. Das Team prüft darum zuerst, ob die Meldung stimmt, und erst dann, wie schlimm sie wäre.
Ein Beispiel: drei Alarme und was dahinterstecken kann
| Alarm | Oft nur | Genauer hinsehen, wenn |
|---|---|---|
| Viele Fehlversuche bei der Anmeldung | Automatisches Raten im Internet | Danach eine Anmeldung gelingt |
| Neuer Nutzer angelegt | Eine Kollegin beginnt ihren ersten Tag | Niemand hat ihn angefordert |
| Große Datenmenge verlässt das Netz | Eine geplante Sicherung | Es passiert nachts an einem Ort, wo nichts läuft |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Fehlversuche für Konten zählen, die es nicht gibt
grep -c "Failed password for invalid user" case/var/log/auth.logHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Fehlversuche für Konten zählen, die es gibt
grep "Failed password for" case/var/log/auth.log | grep -vc "invalid user"Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Dringlichkeit ist Schwere mal Wichtigkeit
Die Schwere sagt, wie schlimm das Ereignis wäre. Die Wichtigkeit sagt, wie viel am System hängt. Multiplizieren Sie beide: Das Ergebnis sind die Punkte. Mehr Punkte heißt dringender.
Bei gleichen Punkten kommt der ältere Alarm zuerst, denn er wartet schon länger.
Ein Beispiel: vier Alarme in einer Warteschlange
| Alarm | Schwere (1 bis 4) | Wichtigkeit (1 bis 5) | Punkte | Platz |
|---|---|---|---|---|
| Datenabfluss auf dem Kundenserver | 4 | 5 | 20 | 1 |
| Fehlversuche am Kassenrechner | 3 | 4 | 12 | 2 |
| Portscan auf dem Testserver | 3 | 1 | 3 | 4 |
| Neuer Nutzer auf dem Dateiserver | 2 | 5 | 10 | 3 |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Eine kleine Warteschlange nach Punkten sortieren
printf '12;Kasse\n3;Testserver\n20;Kundenserver\n10;Dateiserver\n' | sort -t';' -k1,1nrHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Ein häufiger Fehler
Warnung
Viele glauben, ein Alarm mit hoher Schwere komme immer zuerst. Doch eine hohe Schwere auf einem Testserver kann weniger dringend sein als eine mittlere auf dem Kassenrechner. Bewerten Sie immer beides: das Ereignis und das System.
Zu viele Fehlalarme machen müde
Wer jeden Tag hundert Fehlalarme sieht, liest bald keinen mehr genau. Dann geht der echte Alarm unter.
Notieren Sie darum jeden Fehlalarm mit dem Grund. Verbessern Sie danach die Regel, die ihn ausgelöst hat.
Weiterführend
Teilen Sie die 333 Fehlversuche des Labs so auf, wie die zwei Befehle es tun. Rechnen Sie den Anteil der Fehlversuche für unbekannte Konten in Prozent aus.
Sagen Sie in einem Satz, ob Sie dafür einen Alarm einrichten würden und warum.