Fehlalarme über die Konfidenzfaktoreinstellung optimieren
Verwenden Sie den Konfidenzfaktor, um die Anzahl der durch ausgelöste Regeln erstellten Angriffe zu begrenzen. Stellen Sie die Konfidenzwerte abhängig von der gewünschten Schutzstufe auf ein Niveau ein, wie es für Ihre Netzumgebung erforderlich ist.
Informationen zu dieser Task
Orientieren Sie sich bei der Optimierung von Regeln an einem Maßstab, bei dem 50 als Kipppunkt dient. Bei Assets mit geringerem Stellenwert können Sie eine X-Force -Regel abwägen, die mit einem höheren Konfidenzfaktor für bestimmte Kategorien, z. B. Spam, ausgelöst wird. Die Einstellung einer Regel auf einen Konfidenzfaktor von 75 bedeutet beispielsweise, dass die Regel nur dann ausgelöst wird, wenn X-Force eine IP-Adresse mit einem Konfidenzfaktor von 75 oder darüber sieht. Eine solche Optimierung reduziert die Anzahl der Angriffe, die für Systeme mit niedrigerer Priorität und für nicht kritische Assets generiert werden. Für ein wichtiges System oder kritisches Unternehmensasset mit einem Konfidenzfaktor 50 wird jedoch auf niedrigerem Niveau ein Angriff ausgelöst und dadurch schneller auf ein Problem aufmerksam gemacht.
Wählen Sie für Ihre DMZ (Demilitarized Zone) einen höheren Konfidenzwert, z. B. 95% oder höher. In diesem Bereich müssen nicht viele Angriffe untersucht werden. Bei einem höheren Konfidenzniveau ist die Wahrscheinlichkeit größer, dass die IP-Adressen mit der aufgelisteten Kategorie übereinstimmen. Wenn zu 95 % feststeht, dass von einem Host Malware verteilt wird, müssen Sie darüber Bescheid wissen.
Stellen Sie für stärker geschützte Bereiche des Netzes, z. B. einen Server-Pool, einen niedrigeren Konfidenzwert ein. Es werden mehr potenzielle Sicherheitsbedrohungen erkannt und der Untersuchungsaufwand ist geringer, da die Sicherheitsbedrohung ein bestimmtes Netzsegment betrifft.
Eine optimale Einstellung zum Verhindern von Fehlalarmen erreichen Sie durch eine Steuerung von Regelauslösern pro Netzsegment. Überprüfen Sie die Netzinfrastruktur und legen Sie fest, für welche Assets eine hohe Sicherungsstufe erforderlich ist und für welche Assets nicht. Sie können den verschiedenen Netzsegmenten jeweils eigene Konfidenzwerte zuordnen. Fassen Sie häufig verwendete Tests mithilfe von Bausteinen zu Gruppen zusammen, sodass sie in Regeln eingesetzt werden können.