Gå til indhold
atlas

Forveksl ikke disse

Anomalidetektion vs. Detektionsregel

Hvorfor de er forskellige

En detektionsregel leder efter et angreb, nogen allerede har beskrevet; anomalidetektion leder efter alt, der bryder det sædvanlige mønster.

Anomalidetektion

Detektion og respons

At lære, hvordan normal aktivitet ser ud, og slå alarm, når noget afviger fra den, også selv om ingen regel beskriver angrebet.

Formelt

En måde at finde trusler på ved at opbygge en model af normal adfærd for brugere, enheder eller netværkstrafik - ofte med maskinlæring - og markere hændelser, der afviger mere end en fastsat grænse fra den.

Forklaret enkelt

Som en bankassistent, der kender en fast kunde så godt, at hun straks lægger mærke til det, når han en søndag vil flytte hele sin opsparing til udlandet.

I praksis

En bogholder i en kommune har en konto, der normalt åbner nogle få filer om dagen, men som pludselig kopierer ti tusind filer en nat; ingen regel dækker det, men modellen markerer det, og SOC'en finder malware.

Hvorfor det betyder noget

Den kan fange nye angreb, som ingen endnu har skrevet en regel for, men usædvanligt er ikke det samme som skadeligt, så den giver mange falske alarmer, som mennesker må vurdere.

Detektionsregel

Detektion og respons

En nedskrevet betingelse, som et overvågningsværktøj holder indkomne logs op imod, og som udløser en alarm, hver gang hændelserne matcher.

Formelt

En gemt forespørgsel eller et mønster - fx "mere end ti mislykkede login på én konto inden for fem minutter" - som en SIEM eller et lignende værktøj kører mod logposter, med en prioritet og en kort vejledning til analytikeren vedhæftet.

Forklaret enkelt

Som at fortælle en butiksvagt præcis, hvad han skal holde øje med - "enhver, der prøver tre kortterminaler i træk" - i stedet for at bede ham kigge efter alt mærkeligt.

I praksis

Efter at CFCS har advaret om en ny phishing-bølge mod kommuner, skriver en kommunes SOC en regel, der slår alarm, når en medarbejders browser besøger en af webadresserne i advarslen.

Hvorfor det betyder noget

Regler forvandler en strøm af logs til nogle få alarmer, der er værd at læse; for løse, og medarbejderne drukner i støj, for stramme, og et reelt angreb glider forbi.

Fælles forbindelser

Atlas er i beta.