Automatische Priorisierung von Cybersicherheits-Alarmen

IT-Sicherheitsabteilungen großer Organisationen – sogenannte Security Operations Centers (SOCs) – stehen vor einem grundlegenden Problem: Sensoren in Netzwerken, auf Servern und Endgeräten erzeugen täglich enorme Mengen an Sicherheitsalarmen. Der überwiegende Teil davon sind jedoch Fehlalarme. Da Analystinnen und Analysten nicht jeden einzelnen Alarm prüfen können, werden echte Angriffe leicht im Rauschen übersehen. Dieses Phänomen ist als Alert Fatigue bekannt.

Ein in der Praxis etablierter Lösungsansatz ist Risk-Based Alerting (RBA). Statt jeden Alarm einzeln manuell zu bewerten, wird zunächst ein Risikowert anhand definierter Risikoregeln berechnet. Eine manuelle Prüfung erfolgt erst, wenn sich für die Nutzenden oder ein System ein hohes Risiko ergibt – etwa, wenn mehrere unterschiedliche Alarme in kurzer Zeit auf demselben Rechner auftreten. Erfahrungsberichte aus Unternehmen sind vielversprechend, eine systematische und objektive Bewertung des Verfahrens fehlte bislang jedoch.

Genau hier setzt dieses Forschungsprojekt an. Trotz positiver Praxisberichte existiert bislang keine fundierte, objektive Bewertung von Risk-Based Alerting. Es ist unklar, welche der vorgeschlagenen Regeln tatsächlich funktionieren, wie sie sinnvoll konfiguriert werden sollten und wie gut sie sich auf unterschiedliche IT-Umgebungen übertragen lassen. Sicherheitsteams sind daher weitgehend auf Bauchgefühl und vereinzelte Erfahrungswerte angewiesen.

Ziel des Projekts ist es, diese Lücke zu schließen und zwei zentrale Fragen zu beantworten: Kann Risk-Based Alerting die Alarmflut in SOCs wirksam reduzieren – und wie sollte es konkret umgesetzt werden? Das Projekt schafft eine belastbare Entscheidungsgrundlage für Sicherheitsteams und stellt darüber hinaus Werkzeuge sowie Datensätze bereit, mit denen sich die Methode an die jeweils eigene Umgebung anpassen lässt.

Im Zentrum des Projekts steht die Frage, nach welchen Prinzipien sich aus einer großen Menge von Sicherheitsalarmen jene herausfiltern lassen, die tatsächlich auf einen Angriff hindeuten. Aus der Fachliteratur zum Thema Risk-Based Alerting wurden dazu fünf grundlegende Hypothesen abgeleitet:

• Priorität – Berücksichtigung der angegebenen Priorität einer Erkennungsregel
• Häufung – Viele Alarme in kurzer Zeit auf demselben System
• Vielfalt – Unterschiedliche Regeln, die parallel anschlagen
• Unregelmäßigkeit – Auffälligkeiten im zeitlichen Verlauf
• Seltenheit – Auftreten seltener Alarmtypen

Jede Hypothese repräsentiert die Annahme, dass sich Cyberangriffe in genau diesen Merkmalen vom harmlosen Routinebetrieb unterscheiden.

Cybersecurity Alert Triage Exploration and Evaluation System

Um diese Hypothesen systematisch prüfen zu können, wurde die Software CATS (Cybersecurity Alert Triage Exploration and Evaluation System) entwickelt. CATS bildet jede Hypothese als eigenständiges, frei konfigurierbares Modul ab, das jedem Alarm einen Risikowert zwischen null und eins zuweist. Mehrere Module lassen sich zu Pipelines verbinden und über einen gewichteten Mittelwert zu einem Gesamtergebnis kombinieren. Über eine grafische Oberfläche lässt sich interaktiv experimentieren; größere Auswertungen können automatisiert durchgeführt werden.

Datenbasis und Evaluation

Da belastbare öffentliche Datensätze zur Evaluation von Risk-Based Alerting kaum verfügbar sind, wurde die Datenbasis im Rahmen des Projekts gezielt erweitert: Zwei Datensätze wurden vollständig neu erstellt, zwei weitere um Alarmdaten ergänzt und ein fünfter unverändert übernommen. Die Datensätze decken bewusst unterschiedliche IT-Umgebungen ab – von kleinen Testnetzen über simulierte Unternehmensinfrastrukturen bis hin zu einem realen ERP-Produktionssystem – und beziehen Alarme aus den verbreiteten Werkzeugen Falco, Sigma, Suricata und Wazuh ein. Auf dieser Grundlage ließ sich systematisch bestimmen, welche Hypothesen unter welchen Bedingungen tragen und wie Parameter (z. B. Zeitfensterlänge) das Ergebnis beeinflussen.

Die Auswertung zeigt ein klares Bild: Drei der fünf untersuchten Hypothesen liefern verlässlich gute Ergebnisse. Besonders wirksam priorisiert die sogenannte Variety-Hypothese – also die Beobachtung, dass innerhalb kurzer Zeit unterschiedliche Regeln auf demselben System anschlagen. Auch die schlichte Häufung von Alarmen sowie die von den Regelautoren vergebene Priorität tragen wesentlich zur richtigen Einordnung bei. Periodizität und Seltenheit allein erwiesen sich dagegen als wenig aussagekräftig.

Den größten Mehrwert bringt die Kombination aller Module zu einer gewichteten Pipeline. Über alle fünf Datensätze hinweg erreicht sie eine sehr gute Priorisierung (AUROC im Mittel 0,92) – deutlich besser als eine einfache Sortierung nach Regelpriorität (0,72) und auch besser als das jeweils stärkste Einzelmodul. In einem typischen Praxisszenario, in dem nur die zehn Prozent der kritischsten Alarme manuell geprüft werden, findet die optimierte Pipeline auf einem der anspruchsvollsten Datensätze 43 von 44 echten Angriffsmeldungen, während eine reine Sortierung nach Regelpriorität im Schnitt nur 28,6 erfasst. Die ermittelten Gewichtungen erweisen sich zudem als übertragbar: Eine auf vier Datensätzen abgestimmte Pipeline funktioniert auch auf dem jeweils ausgelassenen fünften Datensatz robust – ein starkes Indiz für universelle Einsetzbarkeit. Der Rechenaufwand bleibt dabei gering und im großen Maßstab praxistauglich.

Security Operations Centers, die unter Alert Fatigue leiden, profitieren von Risk-Based Alerting in der hier evaluierten Form. CATS senkt die Einstiegshürde und ermöglicht es, die Verfahren mit eigenen Daten nachzuvollziehen und anzupassen. Gleichzeitig eignet sich das Verfahren als Vergleichsgrundlage für aufwendigere Ansätze – etwa solche auf Basis von Large Language Models (LLMs). Künftige Arbeiten können zusätzliche Module ergänzen, auch unter Einbeziehung maschinellen Lernens, und so Synergien zwischen statistischen und KI-basierten Methoden gezielt nutzbar machen.