Security Monitoring ist die laufende Beobachtung von Systemen auf Anzeichen eines Angriffs. Es setzt voraus, dass aufgezeichnet wird, siehe Logging.
- Security Monitoring
Die laufende Beobachtung von Systemen auf Anzeichen eines Angriffs.
Beispiel: „Beim Security Monitoring fiel auf, dass sich ein Konto nachts aus zwei Ländern anmeldete.“Auch: Sicherheitsüberwachung. Das Werkzeug, das die Meldungen zusammenführt, ist meist ein SIEM.
Abgrenzung zum gewöhnlichen Monitoring: Das fragt, ob ein Dienst läuft und wie schnell. Security Monitoring fragt, ob jemand tut, was er nicht tun sollte.
Was beim Security Monitoring beobachtet wird
Vier Dinge, die zusammen ein Bild ergeben. Anmeldungen, vor allem fehlgeschlagene und solche zu ungewöhnlichen Zeiten oder aus ungewöhnlichen Richtungen. Änderungen an Rechten und an Konten. Verbindungen nach außen, die ein System sonst nie aufbaut. Und Zugriffe auf Dateien, die niemand im Alltag anfasst.
Worin der Unterschied zum Betriebs-Monitoring liegt
In der Frage und damit in den Schwellen. Ein Betriebs-Monitoring meldet, wenn etwas ausfällt; die Zahl der Meldungen ist überschaubar und ihre Bedeutung klar. Security Monitoring meldet Auffälligkeiten, und was auffällig ist, hängt vom Normalzustand ab. Deshalb besteht die Einführung zum größten Teil daraus, diesen Normalzustand zu beschreiben.
Was ohne Zuständigkeit passiert
Nichts. Eine Meldung, für die niemand zuständig ist, wird nach zwei Wochen weggeklickt; nach vier Wochen schaut niemand mehr hin. Zum Monitoring gehört deshalb die Festlegung, wer wann hinsieht, was eine Meldung auslöst und wer entscheidet, ob daraus ein Vorfall wird, siehe Incident Response. Ohne diese Festlegung ist das Werkzeug eine Ausgabe ohne Wirkung.