Cybersécherheets-Sensor: Definitioun, Notzen a Grenzen

Wat bedeit „Sond“?

De Begrëff ëmfaasst verschidden Zorte vu Sensoren. Eng Netzwierksond analyséiert Dateflëss oder Metadonnéeë vun der Kommunikatioun. E Sensor op engem Endgerät observéiert éischter lokal Evenementer. Aner Systemer sammele Logbicher vu Serveren, Applikatiounen oder Sécherheetsapparater. D'ANSSI beschreift d'Journaliséierung als Informatiounsquell fir d'Detektioun an d'Analys no engem Incident.

Eng Sond gëtt also net nëmmen duerch en Apparat oder eng Software definéiert, mee duerch hire Beobachtungspunkt, déi gesammelt Donnéeën an hiren Zweck.

Wat kann si erkennen?

Jee no Konfiguratioun kann si Kommunikatioune mat bekannten béisaartegen Destinatiounen, ongewéinlech Verbindungsfollegen, opfälleg Volumen, versichte Beweegungen tëscht Systemer oder Ofwäichunge vun engem Referenzverhalen ervirhiewen. Indicateurs de compromission, déi Acteure wéi de CIRCL iwwer MISP deelen, kënnen a bestëmmten Detektiounsreegele benotzt ginn.

En Alarm bleift awer e Signal, dat qualifizéiert muss ginn. E kann op en Ugrëff, eng ongewéinlech legitim Aktivitéit oder eng schlecht ugepasste Reegel zeréckgoen. D'Sond liwwert Elementer fir d'Enquête; si decidéiert net eleng, ob en Incident besteet a wéi eescht en ass.

Wou leien hir Grenzen?

Eng Sond gesäit nëmmen de Verkéier oder d'Evenementer, déi hir zougänglech sinn. Verschlësselung kann de siichtbaren Inhalt limitéieren, eng schlecht dokumentéiert Architektur kann blann Flecke loossen an en Ugräifer kann eng Technik benotzen, déi keng Reegel ofdeckt. D'Sond patcht keng Software, restauréiert kee Backup a weist net automatesch enger Persoun eng Entscheedung zou.

Virum Asaz sinn de Perimeter, d'Sammelpunkten, d'Archivéierungsdauer, d'Empfänger vun den Alerten an d'Reaktiounsprozedur festzeleeën. Och d'Logbicher musse géint onerlaabten Zougrëff a Verännerung geschützt ginn, wéi d'ANSSI recommandéiert.

Kann d'Netzwierkiwwerwaachung Persoune betreffen?

Jo. Eng IP-Adress, eng Kontokennung oder e Verbindungsverlaf ka perséinlech Donnéeën duerstellen, wann eng Persoun direkt oder indirekt identifizéierbar ass. Zweckbindung, Dateminimiséierung, limitéiert Späicherdauer, Sécherheet an Informatioun no der DSGVO, besonnesch den Artikelen 5, 13, 25 an 32, sinn dann ze berücksichtegen. Zitéiert gëtt déi offiziell Versioun aus dem Amtsblat vun der Europäescher Unioun, mat de Berichtegungen, déi iwwer EUR-Lex zougänglech sinn.

E Fall: wann d’Iwwerwaachung selwer kompromittéiert gëtt

De 15. Februar 2021 huet déi franséisch ANSSI de Rapport CERTFR-2021-CTI-005 verëffentlecht. Hie beschreift eng Kampagne géint Centreon-Server, déi um Internet erreechbar waren — eng Monitoring-Software. D’Kampagne ass vun Enn 2017 bis 2020 gelaf. Betraff waren haaptsächlech franséisch IT-Prestataire, besonnesch Hosting-Ubidder.

Op de kompromittéierte Server huet d’ANSSI zwou Hannerdieren fonnt: eng Webshell mam Numm P.A.S. an der Versioun 3.1.4, an eng Exaramel-Hannerdier. De Rapport hält e Punkt fest, deen ee bis zum Enn liese soll: de initialen Wee vun der Kompromittéierung ass net bekannt.

Zwou Saache kommen doraus, a si betreffen direkt eng KMU déi iwwer eng Sond oder en Iwwerwaachungsinstrument nodenkt:

• En Instrument dat alles iwwerwaacht, erreecht och alles. Eng Sond, eng Monitoring-Konsol, en Sécherungsagent oder en Instrument fir Fernwartung sinn iwwerall installéiert an hu grouss Rechter. Si schützen; si vergréisseren och dat, wat en Ugräifer kritt, wann hien se erreecht.
• Dräi Joer sinn d’Dauer, net d’Raffinesse. Wat d’Kampagne esou laang huet loosse bestoen, ass net d’Feinheet vun den Instrumenter. Et ass, datt keen gekuckt huet, wat dës Server gemaach hunn. Eng Sond déi sammelt ouni gelies ze ginn ass keng Detektioun: si ass en Archiv.

Den Artikel Wat ass eng Sécherheetsschwachstell? weist de ëmgekéierte Fall: eng bekannte Schwachstell, ze spéit korrigéiert. Hei bleift d’Entréesschwachstell onbekannt, an et huet d’Iwwerwaachung gefeelt.

Wat eng KMU décidéiere muss

Keng vun dësen Entscheedungen ass technesch. Si ginn viru Kaf vun engem Instrument geholl, net duerno.

• Wien liest d’Alarmer, a wéini? Dës Fro décidéiert iwwer alles anescht. Eng Sond ouni Lieser erkennt näischt. Wann owes an um Weekend keen do ass, muss een dat opschreiwen an domat rechnen.
• Wéi laang gi Protokoller opbewahrt? En Andrénge gëtt dacks Wochen no sengem Ufank entdeckt. Siwen Deeg Protokoller rekonstruéieren net, wat de Mount virdrun geschitt ass.
• Wien huet Zougang zum Iwwerwaachungsinstrument, a vu wou? Et ass de spannendste Kont am ganze Parc. Hie verdéngt eng Zwee-Faktor-Authentifikatioun an en agegrenzten Zougang, sou wéi d’Comptabilitéit.
• Wat geschitt mat engem Alarm? Wien mécht en op, wien décidéiert datt en echt ass, wien dierf eng Maschinn isoléieren. Ouni dës dräi Äntwerte gëtt en Alarm eng Pièce jointe déi ee weiderleet.
• Sinn d’Mataarbechter informéiert? D’Iwwerwaachung vun engem Firmennetz beréiert Donnéeë vu Mataarbechter. D’Informatioun vun de Persounen an d’Konsultatioun vun der Personaldelegatioun, wa se besteet, sinn keng Formalitéiten: si bedingen d’Rechtméissegkeet vun der Moossnam.

Quellen

Linken iwwerpréift den 28. September 2026.

• ANSSI, CERT-FR, Rapport CERTFR-2021-CTI-005, 15. Februar 2021: cert.ssi.gouv.fr.
• ANSSI, CERT-FR, Indicateure vu Kompromittéierung CERTFR-2021-IOC-002: cert.ssi.gouv.fr.
• CIRCL, Servicer fir Lëtzebuerger Organisatiounen: circl.lu.
• Nationale Cybersécherheetsportal: cybersecurite.lu.

Eng Sond ass am nëtzlechsten, wann hir Alarmer vun enger zoustänneger Funktioun iwwerpréift ginn. Dës Organisatioun erkläert Wat ass e SOC?. Technesch Schwachstelle behandelt Wat ass eng Sécherheetslück?.