So reduzieren Sie die Alarmüberlastung in Verteidigungs-SOCs

Analysten sind mit einer unerbittlichen Flut von Benachrichtigungen konfrontiert, wobei sich die Mehrheit als Fehlalarme herausstellt. Studien zeigen, dass 71 % der Mitarbeiter des Security Operations Center (SOC)¹ unter Burnout leiden und berichten, dass sie sich von der Menge der Warnmeldungen überfordert fühlen. Einer der größten Anlässe für Frustration unter Analysten ist, dass sie zu viel Zeit mit der Bearbeitung von Fehlalarmen und manueller Arbeit verbringen. 

Am besorgniserregendsten ist, dass eine Befragung aus dem Jahr 2024² zeigt, dass sage und schreibe 62 % der Warnmeldungen völlig ignoriert werden und die Genauigkeit nach längeren Schichten um 40 % abnimmt. Es handelt sich also nicht nur um ein Effizienzproblem, sondern auch um eine Sicherheitslücke mit sehr menschlichen Wurzeln, die genau die Lücken schafft, die raffinierte Bedrohungen ausnutzen.

Glücklicherweise reduzieren intelligentere Erkennungsstrategien in Kombination mit fortschrittlicher Automatisierung und KI-gesteuerten Sicherheitstools sowohl das Rauschen als auch das Risiko – viele Unternehmen sehen bereits große Verbesserungen. Ein kürzlich veröffentlichter Bericht, in dem Kundenfeedback analysiert wurde, zeigte, dass Unternehmen, die Elastic Security einsetzen, das tägliche Alarmvolumen von über 1.000 auf nur acht verwertbare Entdeckungen reduzierten, wobei die Fehlalarme um durchschnittlich 75 % reduziert wurden. Das geht über die Reduzierung des Rauschens hinaus: Es ist eine Transformation des Analystenfokus und der SOC-Effizienz. Ein wichtiger Treiber für diesen Wandel sind KI-gestützte Tools wie Attack Discovery von Elastic. Es kann Fehlalarme reduzieren, indem es statt einzelner Anomalien tatsächliche Angriffe identifiziert.

Security-Teams brauchen nicht noch mehr Alarmmeldungen. Sie müssen eine strategische Änderung ihrer Arbeitsweise vornehmen. Der Weg zu aussagekräftigen, verwertbaren Erkenntnissen führt nicht über die Bereitstellung zusätzlicher Tools, mehr Schulungen oder mehr Schichten – was natürlich zu höheren Kosten führt. Vielmehr geht es darum, die strategischen Änderungen zu verstehen, die Verteidigungsteams bereits implementieren, um die Alarmüberlastung und das Risikopotenzial zu reduzieren und die Sicherheitsabläufe zu verbessern.

Für eine effiziente Untersuchung von Bedrohungen benötigen Analysten einen ganzheitlichen Überblick, um zu erkennen, wie verschiedene Ereignisse in der Umgebung zusammenhängen. Da die Daten jedoch über Endpoints, Firewalls und Identitätssysteme fragmentiert sind, ist es eine ständige Herausforderung, eine einheitliche Ansicht zu erreichen.

Attack Discovery von Elastic identifiziert aktiv die Beziehungen zwischen Warnmeldungen und deckt Angriffsmuster auf, die sonst in der Datenflut verborgen bleiben würden. Die Grundlage dafür bilden ausgefeilte Suchfunktionen in Kombination mit großen Sprachmodellen, die mit den tatsächlichen Sicherheitsdaten und nicht mit allgemeinen Sicherheitsannahmen arbeiten. Dies ermöglicht die automatische Erkennung bekannter Bedrohungen durch Korrelationsregeln und die Verknüpfung verwandter Ereignisse, um einen umfassenderen Kontext und schnellere, genauere Untersuchungen zu ermöglichen. Jede Erkennung hebt einen potenziellen Angriff hervor, indem sie verwandte Warnmeldungen miteinander verknüpft und zeigt, welche Nutzer und Hosts beteiligt sind, wie die Aktivität dem MITRE ATT&CK® Framework zugeordnet werden kann und welche Bedrohungsakteure in Frage kommen. Elastic Attack Discovery verbindet scheinbar unzusammenhängende Warnungen zu klaren, kohärenten Angriffsketten. Anstatt sich mit isolierten Warnungen über ungewöhnlichen Netzwerkverkehr, verdächtige Prozesse oder der Verwendung von Zugangsdaten zu befassen, können Analysten sofort den gesamten Kontext eines Angriffs einsehen.

Die Wissensdatenbank reichert Warnmeldungen mit Kontext aus vergangenen Vorfällen, Angriffsmustern und Korrelationen in der gesamten Umgebung an, sodass Analysten das Gesamtbild sehen und auf klare und präzise Weise auf Bedrohungen reagieren können.

Sie unterstützt zudem die langfristige forensische Datenaufbewahrung, die die Korrelation von Ereignissen im Zeitverlauf ermöglicht, was für die Aufrechterhaltung der Sicherheit und Compliance in der Verteidigungsindustrie entscheidend ist.

Eine hohe Alarmdichte belastet Ihr Team. Durch strategische Änderungen im Alarmmanagement können Teams von reaktiven Reaktionen zu durchdachteren, proaktiven Maßnahmen übergehen. Wenn die Notwendigkeit entfällt, manuell auf jede Spitze in der Telemetrie zu reagieren, haben Teams mehr Raum, um intelligenter zu denken, fortschrittliche Erkennungsstrategien zu entwickeln oder Bedrohungsjagdprojekte zu verfolgen, die zuvor unerreichbar waren.

Erfahren Sie, wie Ihre Verteidigungssicherheitsteams mit KI-gestützter Automatisierung die Effizienz steigern, Alarmmüdigkeit reduzieren und Abläufe optimieren können. Nehmen Sie an unserem Webinar Intelligentere Sicherheit: Wie KI die Bedrohungserkennung und die Workflows von Analysten verändert teil – dem ersten Teil unserer vierteiligen Webinar-Reihe, in der praktische Möglichkeiten vorgestellt werden, wie KI die SOC-Abläufe im Verteidigungsbereich neu gestaltet.

Quellen:

1. Tines, „Report: Voice of the SOC Analyst“, 2022.

2. MSSP Alert und CyberRisk Alliance, „MSSP Market News: Survey Shows 62% of SOC Alerts are Ignored“, 2024.

Die Entscheidung über die Veröffentlichung der in diesem Blogeintrag beschriebenen Leistungsmerkmale und Features sowie deren Zeitpunkt liegt allein bei Elastic. Es ist möglich, dass noch nicht verfügbare Leistungsmerkmale oder Features nicht rechtzeitig oder überhaupt nicht veröffentlicht werden.

In diesem Blogpost haben wir möglicherweise generative KI-Tools von Drittanbietern verwendet oder darauf Bezug genommen, die von ihren jeweiligen Eigentümern betrieben werden. Elastic hat keine Kontrolle über die Drittanbieter-Tools und übernimmt keine Verantwortung oder Haftung für ihre Inhalte, ihren Betrieb oder ihre Anwendung sowie für etwaige Verluste oder Schäden, die sich aus Ihrer Anwendung solcher Tools ergeben. Gehen Sie vorsichtig vor, wenn Sie KI-Tools mit persönlichen, sensiblen oder vertraulichen Daten verwenden. Alle Daten, die Sie eingeben, können für das Training von KI oder andere Zwecke verwendet werden. Es gibt keine Garantie dafür, dass Informationen, die Sie bereitstellen, sicher oder vertraulich behandelt werden. Setzen Sie sich vor Gebrauch mit den Datenschutzpraktiken und den Nutzungsbedingungen generativer KI-Tools auseinander. 

Elastic, Elasticsearch und zugehörige Marken sind Marken, Logos oder eingetragene Marken von Elasticsearch N.V. in den Vereinigten Staaten und anderen Ländern. Alle anderen Unternehmens- und Produktnamen sind Marken, Logos oder eingetragene Marken ihrer jeweiligen Eigentümer.