Falsch positiv

Ein Fehlalarm ist eine Warnung, die fälschlicherweise auf eine vorhandene Schwachstelle oder eine laufende bösartige Aktivität hinweist. Diese Fehlalarme führen zu einer erheblichen Anzahl zusätzlicher Warnmeldungen, die überprüft werden müssen, und erhöhen so den Lärmpegel für Sicherheitsteams.

Fehlalarme können durch verschiedene Vorfälle ausgelöst werden, wie zum Beispiel:

• Der Benutzer gibt sein Passwort wiederholt falsch ein und löst dadurch einen Brute-Force-Alarm aus.
• Scan- und Sicherheitssoftware erkennt einen legitimen Vorgang fälschlicherweise als Angriff
• Eine Signatur, die zur Erkennung einer bestimmten Art von Malware konfiguriert wurde, identifiziert eine Aktivität fälschlicherweise.
• Softwarefehler fälschlicherweise als Angriff identifiziert
• Nicht erkannter Netzwerkverkehr
• Tools zur Anwendungssicherheitstests identifizieren Ergebnisse fälschlicherweise als Sicherheitsprobleme

Die Zunahme von Sicherheitstest- und Überwachungstools erhöht die Gesamtzahl der Warnmeldungen, die Sicherheitsteams erhalten, was wiederum die Anzahl der zu prüfenden Fehlalarme steigert. Solche Sicherheitsereignisse erhöhen den Lärm für überlastete Sicherheitsteams, wodurch diese eher dazu neigen, gültige Sicherheitsereignisse zu ignorieren, weil sie annehmen, dass es sich um Fehlalarme handelt.

Realistischerweise können und müssen Sicherheitsteams nicht jedes einzelne durch Warnmeldungen aufgedeckte Problem beheben, und auch Softwareentwicklungs- und Testteams können nicht jede Warnung analysieren. Diese Teams erhalten eine große Anzahl an Warnmeldungen, und es erfordert Zeit, jede einzelne zu untersuchen. Wenn zeitlich eingeschränkte Teams kontinuierlich eine hohe Anzahl an Warnmeldungen erhalten, sind sie eher von Alarmmüdigkeit betroffen und konzentrieren sich auf Fälle, bei denen ein klar erkennbares Problem gelöst werden muss.

Falsch positive Ergebnisse erhöhen die Wahrscheinlichkeit, dass interne Sicherheitsteams wichtige Sicherheitsereignisse übersehen, weil sie diese für ungültig halten oder einfach zu viele Warnmeldungen erhalten, um jede einzelne zu untersuchen. Falsch negative Ergebnisse sind ähnlich problematisch, da sie anzeigen, dass keine Schwachstelle oder kein Sicherheitsproblem vorliegt, obwohl tatsächlich ein Problem besteht, das behoben werden muss.

Während eine gewisse Anzahl von Fehlalarmen untersucht wird, um zu überprüfen, dass sie tatsächlich keine Bedrohung für die Organisation darstellen, werden Fehlklassifikationen, bei denen Bedrohungen übersehen werden, seltener untersucht, da die Testergebnisse darauf hindeuten, dass die Software wie vorgesehen funktioniert. Sowohl Fehlalarme als auch übersehene Bedrohungen können jedoch ein Risiko für Sicherheitsteams und die von ihnen geschützten Organisationen darstellen.

‍