In der Welt der Informationssicherheit gibt es ständig neue Herausforderungen und Anforderungen. Eine besonders wichtige Neuerung in der ISO27001 ist die Forderung, Netzwerke, Systeme und Anwendungen auf anormales Verhalten zu überwachen und geeignete Maßnahmen zu ergreifen, um potenzielle Sicherheitsvorfälle zu bewerten. Ein zentraler Aspekt dieser Anforderung ist das Messen der durchschnittlichen Auslastung der Infrastruktur und das Erkennen von Abweichungen.

Warum ist die Überwachung der Infrastruktur wichtig?

Wenn du deine Infrastruktur nicht regelmäßig überwachst, kann anormales Verhalten leicht unbemerkt bleiben. Das kann zu Sicherheitsvorfällen führen, die im schlimmsten Fall enorme Schäden verursachen können. Indem du die durchschnittliche Auslastung deiner Systeme misst und Abweichungen erkennst, kannst du potenzielle Bedrohungen frühzeitig identifizieren und Maßnahmen ergreifen, bevor es zu spät ist.

Wie kannst du die durchschnittliche Auslastung messen?

1. Daten sammeln: Zuerst musst du Daten über die Auslastung deiner Infrastruktur sammeln. Das kann CPU- und Speicherverbrauch, Netzwerkverkehr, Festplatten-I/O und andere relevante Metriken umfassen. Es ist wichtig, diese Daten kontinuierlich und über einen längeren Zeitraum zu sammeln, um ein genaues Bild der normalen Auslastung zu erhalten.
2. Baseline erstellen: Sobald du ausreichend Daten gesammelt hast, kannst du eine Baseline erstellen, die die durchschnittliche Auslastung deiner Infrastruktur darstellt. Diese Baseline dient als Referenzpunkt, um normales Verhalten von anormalem Verhalten zu unterscheiden.
3. Überwachung einrichten: Jetzt musst du ein Überwachungssystem einrichten, das kontinuierlich die aktuelle Auslastung mit der Baseline vergleicht. Hierbei können Tools wie Nagios, Zabbix oder Splunk hilfreich sein. Diese Tools können so konfiguriert werden, dass sie bei Abweichungen von der Baseline Alarme auslösen.
4. Abweichungen analysieren: Wenn das Überwachungssystem eine Abweichung erkennt, ist es wichtig, diese sofort zu analysieren. Ist die Abweichung möglicherweise durch eine geplante Wartung oder eine ungewöhnlich hohe Nutzeraktivität verursacht? Oder deutet sie auf einen möglichen Sicherheitsvorfall hin?

Automatisiertes Messen der durchschnittlichen Auslastung

Um den Aufwand für die Überwachung der Infrastruktur zu minimieren, bietet sich das automatisierte Messen der durchschnittlichen Auslastung an. Durch den Einsatz moderner Monitoring-Tools kannst du beispielsweise die CPU-Auslastung der letzten 30 Tage automatisch erfassen und analysieren lassen. Basierend auf diesen Daten wird eine durchschnittliche Auslastung berechnet, die als Baseline dient. Anstatt manuell Schwellenwerte (Thresholds) zu setzen, kannst du einen Trigger definieren, der bei einer Abweichung von beispielsweise 20% von dieser Baseline ausgelöst wird. Auf diese Weise wird nur dann ein Alarm ausgelöst, wenn tatsächlich ein signifikantes anormales Verhalten festgestellt wird, was die Überwachung effizienter und weniger fehleranfällig macht. Automatisierung spart nicht nur Zeit und Ressourcen, sondern reduziert auch das Risiko menschlicher Fehler bei der Festlegung und Anpassung der Schwellenwerte.

Maßnahmen bei Abweichungen

Wenn du eine Abweichung von der durchschnittlichen Auslastung feststellst, solltest du folgende Schritte unternehmen:

1. Sofortmaßnahmen: Je nach Art und Schwere der Abweichung können Sofortmaßnahmen erforderlich sein. Das könnte das Blockieren bestimmter Zugriffe, das Abschalten betroffener Systeme oder das Aktivieren zusätzlicher Sicherheitsmechanismen umfassen.
2. Analyse und Ursachenforschung: Versuche, die Ursache der Abweichung zu ermitteln. War es ein einmaliger Vorfall, oder gibt es Anzeichen für eine kontinuierliche Bedrohung? Analysiere die Log-Dateien und führe gegebenenfalls eine forensische Untersuchung durch.
3. Berichterstattung: Dokumentiere den Vorfall und die ergriffenen Maßnahmen gründlich. Das ist nicht nur für die Einhaltung der ISO27001-Anforderungen wichtig, sondern hilft auch, aus dem Vorfall zu lernen und zukünftige Bedrohungen besser zu erkennen und zu verhindern.
4. Präventive Maßnahmen: Basierend auf der Analyse solltest du präventive Maßnahmen entwickeln und implementieren, um ähnliche Vorfälle in Zukunft zu vermeiden. Das könnte die Anpassung der Sicherheitsrichtlinien, die Schulung der Mitarbeiter oder die Verbesserung der Überwachungsmechanismen umfassen.

Fazit

Die Überwachung der durchschnittlichen Auslastung deiner Infrastruktur und das Erkennen von Abweichungen sind essenzielle Bestandteile der modernen Informationssicherheit. Indem du proaktiv anormales Verhalten erkennst und schnell darauf reagierst, kannst du potenzielle Sicherheitsvorfälle vermeiden und die Integrität, Verfügbarkeit und Vertraulichkeit deiner Daten schützen. Nimm dir die Zeit, ein robustes Überwachungssystem zu implementieren und deine Infrastruktur kontinuierlich im Auge zu behalten – es lohnt sich!