Insufficient Monitoring
Unzureichendes Monitoring ist das Fehlen von Echtzeiterkennung und Alarmierung für Sicherheitsereignisse und Anomalien, sodass Angriffe lange unbemerkt bleiben.
Zweck
Die Anforderungen an Sicherheitsmonitoring und seine Abwehr verstehen; der Kern des Sicherheitsbetriebs und von Erkennen-Reagieren.
Mechanismus
Schwachstellen: kein SIEM, keine Anomalieerkennung, keine Alert-Schwellen, keine Verletzungserkennung. Abwehr: SIEM-Log-Zentralisierung, UEBA-Verhaltensanalyse, IDS/IPS, Alert-Runbooks, MTTR-Ziele.
Anwendungsfälle
- SIEM-Einführung
- Bedrohungserkennung
- Sicherheitsbetrieb