Wie etablieren Sie eine Baseline des Normalzustands, und wie hilft sie bei der Erkennung von Anomalien?
Kurzantwort
Eine Baseline ist ein Modell des normalen Verhaltens für einen Host, Benutzer, ein Konto oder ein Netzwerksegment — welche Prozesse laufen, wer sich von wo und wann anmeldet, typische Datenmengen, normale Beaconing-Intervalle. Sobald man den Normalzustand kennt, werden Anomalien (seltene Eltern-Kind-Prozesspaare, erstmals gesehene Binärdateien, Anmeldungen zu ungewöhnlichen Zeiten, ungewöhnlicher Datenabfluss) als Abweichungen erkennbar. Baselining ist die Grundlage der Anomalieerkennung, erfordert aber genügend saubere Historie und einen sorgfältigen Umgang mit legitimen Änderungen, um nicht in Fehlalarmen zu ertrinken.
Anomalieerkennung funktioniert nur, wenn man weiß, was normal ist. Baselining ist die Disziplin, dieses Bild des Normalzustands aufzubauen, sodass das Anormale — wo sich Angreifer aufhalten — sichtbar hervortritt.
Was Sie als Baseline erfassen
- Prozessverhalten — welche ausführbaren Dateien auf einem Host laufen, ihre typischen Elternprozesse und Befehlszeilenmuster. Eine
winword.exe, die einepowershell.exeerzeugt, ist eine Abweichung, die einen Blick wert ist. - Identität — wann und von wo sich jeder Benutzer anmeldet, welche Systeme er berührt, wie seine normale Rollenaktivität aussieht.
- Netzwerk — typische Ziele, Datenmengen und Verbindungskadenz pro Host.
- Häufigkeit / Seltenheit — Analyse von «erstmals gesehen» und geringster Häufigkeit: Eine Binärdatei oder Domain, die genau einmal in der gesamten Flotte gesehen wurde, ist gerade deshalb interessant, weil sie selten ist.
Aus der Baseline eine Erkennung machen
Mit einer Baseline werden Anomalien zu Abfragen: diese Woche erstmals gesehene Binärdateien, Anmeldungen außerhalb der historischen Zeiten eines Benutzers, ein Host, der plötzlich das 50-Fache seines normalen Volumens abfließen lässt, oder eine neue Eltern-Kind-Prozessbeziehung. Das sind Hypothesen, die ein Hunter prüft.
Der Haken: Veränderung ist auch normal
Umgebungen entwickeln sich weiter — neue Software, neue Mitarbeiter, neue Geschäftszeiten. Ein naiver Anomaliedetektor meldet jede legitime Änderung und trainiert Analysten darauf, sie zu ignorieren. Gutes Baselining berücksichtigt Saisonalität, pflegt die Baseline über die Zeit und kombiniert statistische Seltenheit mit Kontext, bevor es alarmiert.
Warum das wichtig ist
Interviewer wollen hören, dass Sie sowohl die Stärke als auch den Fehlermodus der Anomalieerkennung verstehen: Sie bringt unbekannte Bedrohungen ans Licht, wird aber ohne eine gepflegte, kontextbewusste Baseline zu einer Fehlalarm-Maschine.
Wahrscheinliche Anschlussfragen
- Was macht anomaliebasierte Erkennung anfällig für Fehlalarme?
- Wie lang muss ein Baseline-Zeitfenster sein, und warum?
- Nennen Sie ein Beispiel für eine «erstmals gesehene» Anomalie, die einen Hunt wert ist.