Die Anomalie-Erkennung sucht in IT-Systemen automatisiert nach Mustern, die vom normalen Betriebsverhalten abweichen. Während Signatur-basierte Verfahren nur bekannte Angriffe finden, deckt sie auch neuartige Bedrohungen auf — ein zentraler Baustein moderner Sicherheitsüberwachung.
Statistisch oder per Machine Learning
- Statistische Verfahren: Schwellwerte und Verteilungsmodelle (z. B. Mittelwert, Standardabweichung) melden Werte außerhalb der Norm — etwa eine ungewöhnlich hohe Anzahl fehlgeschlagener Logins.
- Machine Learning: Modelle lernen eine Baseline aus historischen Daten und erkennen Abweichungen, die kein Mensch definieren müsste. Typisch sind Isolation Forest, Autoencoder oder Cluster-Verfahren. Mehr Grundlagen: Maschinelles Lernen.
Einsatzfelder
- Netzwerk: ungewöhnliche Traffic-Spitzen, Datenexfiltration oder laterale Bewegung zwischen Systemen.
- Benutzerverhalten (UEBA): verdächtige Login-Zeiten, Zugriffe aus fremden Ländern oder untypische Downloads.
- Anwendungen: Fehlerraten, Latenz und Durchsatz abseits der Baseline weisen auf Ausfälle oder Angriffe hin.
Abgrenzung und Zusammenspiel
Ein IDS/IPS kombiniert Signatur- und Anomalie-Verfahren: Signatur erkennt Bekanntes sofort, Anomalie-Erkennung fängt Unbekanntes. In einem SIEM liefern Anomalie-Alarme die Rohdaten für die Korrelation. Die Qualität jeder Erkennung hängt von zwei Dingen ab: einer sauberen Baseline und dem Umgang mit Fehlalarmen — zu empfindliche Modelle überfluten Analysen mit False Positives, zu unempfindliche übersehen echte Angriffe.
Praxis-Tipps
- Baseline regelmäßig neu lernen — Systeme und Nutzerverhalten ändern sich.
- Alarme mit Kontext anreichern (Asset, Benutzer, Zeit) und priorisiert eskalieren.
- Anomalie-Erkennung ergänzt, ersetzt aber keine Firewall und kein Patch-Management für Schwachstellen.
Verwandte Grundlagen: Zero-Day, CVE, Threat Hunting.