UEBA: Das Normale lernen, das Ungewöhnliche fangen
Antivirus sucht nach Signaturen von bekanntem Schadverhalten. Aber ein echter Angriff sieht meist aus wie legitime Aktivität, die von der Norm abweicht — ein Admin-Konto, das sich um 3 Uhr morgens anmeldet, ein Gerät, das eine Adresse kontaktiert, mit der es nie gesprochen hat. UEBA sucht nicht nach „schlecht"; es lernt, was für jedes Gerät normal ist, und alarmiert bei der Abweichung.
Wie es funktioniert — 5 Schritte
1. Erfassung. Der Heartbeat des Agenten trägt bereits Verhaltensfakten: Prozesse, Autostarts, öffentliche Peers, lauschende Ports. 2. Historisierung. Der Worker extrahiert die Fakten und hängt sie an eine Zeitreihe an (device_telemetry) — das ist der Grundstein, auf dem alles andere ruht. 3. Lernen. Ein Lernfenster (standardmäßig 14 Tage) baut ein Profil für jedes Gerät auf: bekannte Prozesse, bekannte Peers, Anmeldekonten, typische Aktivitätszeiten. 4. Erkennung. Jeder Heartbeat wird mit dem Profil verglichen, und Abweichungen werden zu Anomalien mit einem Schweregrad. 5. Reaktion. Die Anomalien fließen in das Alarmpanel ein, mit der Option zur automatischen Eindämmung über den Steuerkanal.
Beispiele für Anomalien, die wir fangen
- Erstkontakt mit einer öffentlichen IP, mit der das Gerät nie gesprochen hat (info→mittel).
- Ein Peer auf einer C2-Liste — abgeglichen mit dem Feodo-Feed (kritisch).
- Ein neuer unsignierter Prozess / ein Prozess, der aus temp/appdata läuft (mittel→hoch).
- Neue Persistenz — ein Anstieg der Anzahl der Autostarts / eine neue geplante Aufgabe (hoch).
- Ein neuer lauschender Port (mittel).
- Anmeldung außerhalb der Arbeitszeit / ein neues Konto / ein Anstieg fehlgeschlagener Anmeldungen (hoch).
Warum die MITRE-Kennzeichnung wichtig ist
Jede Anomalie wird mit einer ATT&CK-Technik gekennzeichnet — sodass man statt „etwas Ungewöhnliches ist passiert" ein „T1053 — Scheduled Task/Job (Persistenz)" erhält. Das verwandelt einen einzelnen Alarm in Teil einer Angriffsgeschichte, die man untersuchen, dokumentieren und melden kann (auch für die Zwecke von Novelle 13).