KIWenn das SIEM Kunden und Mitarbeiter aussperrt
Automatische Abwehr kann Mitarbeiter und Kundenstandorte treffen. Was wir in SyslogViz3D dagegen eingebaut haben und welche Fragen Sie stellen sollten.
- Security
- Produkte
- Monitoring
Ein SIEM, das Angreifer nicht nur meldet, sondern automatisch auf der Firewall sperrt, ist ein starkes Werkzeug. Es hat aber eine unbequeme Kehrseite: Wer eine Sperre automatisch setzt, kann auch die Falschen sperren. Das trifft dann nicht irgendeine fremde IP, sondern den Arbeitsplatz eines Mitarbeiters, den Standort eines Kunden oder den Dienstleister, der gerade die Datensicherung prüft.
Genau das haben wir im eigenen Betrieb erlebt. Bei Tests gegen ein Live-System hat unsere automatische Abwehr den eigenen Arbeitsplatz gesperrt, SSH und Ping zum Server waren tot, und die Sperre kehrte mehrfach zurück. Das war kein Fehler der Firewall, sondern genau das, was die Regeln verlangten. Daraus haben wir mehrere Schutzschichten abgeleitet, die wir hier offen beschreiben.
Warum automatische Sperren die Falschen treffen
Eine Sperre entsteht aus einem Muster: viele fehlgeschlagene Anmeldungen, viele Verbindungsversuche, ein Treffer in einer Bedrohungsliste. Legitimer Verkehr kann diesen Mustern sehr ähnlich sehen. Ein Mitarbeiter, der sich mehrfach vertippt, ein Dienstleister mit festen Abfragen oder ein Kundenstandort, der über einen VPN-Tunnel viele Verbindungen aufbaut, sieht für eine Regel schnell nach Angriff aus.
Die eigentliche Frage
Nicht „Wie sperre ich schnell?“, sondern „Wen darf mein System unter keinen Umständen sperren, und wie komme ich wieder hinein, wenn es doch passiert?“
Was wir daraufhin eingebaut haben
Sechs Maßnahmen gegen Fehlsperren
Die Maßnahmen stammen aus der Entwicklung der letzten Wochen und sind in SyslogViz3D umgesetzt.
Niemals-sperren-Liste
Admin-Jumphosts, VPN-Gateways und weitere wichtige Adressen stehen auf einer eigenen Liste und werden nie automatisch gesperrt. Ist die Datei fehlerhaft, startet die automatische Abwehr gar nicht, statt mit leerer Liste weiterzulaufen.
Vertrauenswürdige Anbieter
Backup-, Virenschutz- und Fernwartungsanbieter lassen sich einzeln als „nie sperren“ markieren. Große Cloud-Anbieter bleiben bewusst sperrbar, damit sie nicht zum Freifahrtschein werden.
Gästeliste bekannter Gegenstellen
Wer nachweislich echte Verbindungen zu einem geschützten Dienst aufbaut, wird als bekannt gelernt. Standardmäßig genügen mindestens drei Sitzungen an zwei Tagen. Solche Gegenstellen werden nur kurz gesperrt statt für die volle Dauer oder nur gemeldet. Kundenstandorte aus der Infrastruktur-Konfiguration (RED und IPsec) kommen automatisch auf die Liste.
Zeitfenster statt Dauerzähler
Die Mindestanzahl verschiedener Angreifer muss innerhalb eines Zeitfensters erreicht werden. Vorher konnten zwei einzelne Vorfälle im Abstand von Tagen gemeinsam eine Sperre auslösen.
Trockenlauf vor dem Scharfschalten
Neue Regeln lassen sich im Regeleditor gegen die letzten Alarme simulieren. Konflikte werden erkannt, Änderungen als Diff gezeigt, ein Kommentar ist Pflicht, und jede Änderung lässt sich zurückrollen.
Schnell wieder entsperren
Eine Sperre lässt sich mit einem Klick aufheben, und sie kommt nach einem Neustart nicht zurück. Beim Aufheben kann das Netz direkt als bekannte Gegenstelle gemerkt werden. Gesperrte Hosts tragen im Dashboard ein Geblockt-Zeichen, und der Sperrgrund nennt Erkennungsmodul und Muster.
Dazu kommt Ursachenarbeit: Antwortverkehr unserer eigenen Dienste wird nicht mehr als Angriff gewertet, und bei Schwellen im Port-Scan-Modul zählen Antwort-Flows nach Erreichen der Port-Schwelle nicht mehr mit. Weniger Fehlalarme heißen auch weniger Fehlsperren.
Fünf Fragen, die Sie jedem automatischen Abwehrsystem stellen sollten
- Gibt es eine Liste von Adressen, die nie gesperrt werden dürfen, und was passiert, wenn diese Liste kaputt ist?
- Werden Mitarbeiter, Kundenstandorte und Dienstleister mit festen Abläufen erkannt, bevor sie gesperrt werden?
- Lassen sich neue Regeln erst im Trockenlauf prüfen, und gibt es einen Rollback?
- Wie lange dauert eine Sperre standardmäßig, und lässt sie sich mit einem Klick aufheben?
- Wo testen Sie Angriffsmuster? Nie gegen produktive Systeme und immer mit einer eigenen Ausnahme für den Prüfrechner.
Automatische Abwehr lohnt sich, solange der Preis für einen Fehler klein bleibt. Genau darauf ist SyslogViz3D ausgelegt: schnell reagieren, aber mit Sicherheitsnetz. Mehr zur Active-Defense-Pipeline und zum Sophos Provider finden Sie auf der Technik-Seite zu SyslogViz3D.
Automatische Abwehr mit Sicherheitsnetz
Wir zeigen Ihnen in einer Demo, wie Niemals-sperren-Liste, Gästeliste und Trockenlauf in der Praxis zusammenarbeiten.
Demo anfragen