Detektions-Konzept
BSI-Kategorie: Sicherheitsmanagement · Zielgruppe: Prozessverantwortliche
Beschreibung des BSI
Das Detektionskonzept legt die strategische und technische Vorgehensweise fest, um Sicherheitsvorfälle und verdächtige Aktivitäten in der IT-Infrastruktur proaktiv zu erkennen. Es beschreibt, welche Datenquellen (z.B. Log-Dateien, Netzwerkverkehr, Systemmetriken) überwacht, welche Werkzeuge (z.B. SIEM, IDS/IPS) eingesetzt und welche Methoden zur Analyse und Korrelation von Ereignissen verwendet werden. Das primäre Ziel ist es, Angriffe, Kompromittierungen oder Richtlinienverstöße so früh wie möglich zu identifizieren, um den potenziellen Schaden zu begrenzen. Im Gegensatz zu einem Notfall- oder Wiederanlaufplan, der regelt, wie auf einen bereits eingetretenen und erkannten Vorfall reagiert wird, setzt das Detektionskonzept früher an. Es konzentriert sich auf die Phase vor und während eines Angriffs und beantwortet die Frage: “Wie stellen wir sicher, dass wir einen relevanten Vorfall überhaupt bemerken?”. Es bildet somit die Grundlage für einen effektiven Incident-Response-Prozess, denn nur was erkannt wird, kann auch bewältigt werden.
Quelle: BSI, documentation_guidelines.csv, CC BY-SA 4.0. Der Katalog nennt das Dokument „Detektions-Konzept“, die Tabelle „Detektionskonzept“; sie unterscheiden sich nur in der Schreibweise.
61 Anforderungen, davon 1 MUSS, nennen Detektions-Konzept als Ort, an dem das Ergebnis festzuhalten ist. Praktiken: BER, DET, KONF, DEV. Das ist kein Nachweis und keine Prüfvorgabe. Aus dem Katalog allein geht nicht hervor, ob daraus ein eigenes Dokument oder ein Abschnitt in einem anderen wird.
Nach Zielobjekt: Anwendungen (8), Daten (1), E-Mail (1), Externe Netzanschlüsse (1), Hostsysteme (2), IT-Systeme (6), Netze (4), Räume (1), Verzeichnisdienste (1), Webserver (2), ohne Zielobjektkategorie (34).
Anforderungen (61)
Abschnitt betitelt „Anforderungen (61)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| DET.1.1 Verfahren und Regelungen ohne Zielobjektkategorie | MUSS | Standard-SicherheitsstufeStandard |
| BER.6.6 Monitoring von Zugangsdaten ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.2.1.2 Meldeformulare ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.2.1.3 Rückmeldungen ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1 Protokollierung sicherheitsrelevanter Ereignisse Zielobjekt: Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.4 Speicherkapazität ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.5 Revisionssicherheit ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.1 Überwachung der Protokollierung ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.2 Automatische Angriffserkennung Zielobjekt: IT-Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.3 Überwachung der Angriffserkennung ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.4 Änderungen an Sicherheitsrichtlinien ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.11 Anomalien in Netzen und am Perimeter Zielobjekt: Netze | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.12 Monitoring der Netzverfügbarkeit Zielobjekt: Netze | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.12.1 Auslastung des Netzes Zielobjekt: Netze | SOLLTE | Erhöhte SicherheitsstufeErhöht |
| DET.4.13 Verfügbarkeit des Hostsystems Zielobjekt: Hostsysteme | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.14 Verfügbarkeit der Anwendung Zielobjekt: Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.15 Ressourcenauslastung von Hostsystemen Zielobjekt: Hostsysteme | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.5.3 Schwachstellenscans ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.5.3.1 Autorisierung kritischer Scans ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.5.8 Bedrohungsanalyse ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.5.9 Externe Schwachstellenmeldungen ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.5.10 Zeitnahes Patchmanagement ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.5.10.1 Autorisierte Bezugsquellen ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.5.10.2 Automatisierte Überwachung von Systemupdates Zielobjekt: IT-Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.5.10.4 Integritätsprüfung von Patches ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.6.1 Beurteilung von Ereignissen ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.6.1.1 Automatisierte Feststellung ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.6.1.2 Automatische Alarmierung ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.6.2 Beurteilung von Eingängen ohne Zielobjektkategorie | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.7.2 Zertifikatsmonitoring Zielobjekt: Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.2.2 Security Operations Center ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.2.3 Ständiger Bereitschaftsdienst ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.3 Filterung nicht benötigter Inhalte ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.6 Unbestreitbarkeit Zielobjekt: Daten | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.5 Unerwünschte Datenabflüsse ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.6 Anomale Nutzung der Anwendung Zielobjekt: Anwendungen | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.6.1 Verhaltensanalyse von Zugangskonten Zielobjekt: Verzeichnisdienste | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.7 Auslaufen von Domains Zielobjekt: Webserver | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.8 Ausstellung neuer HTTPS-Zertifikate Zielobjekt: Webserver | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.9 Manipulations-Checkup Zielobjekt: IT-Systeme | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.10 Host-basierte Köder Zielobjekt: IT-Systeme | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.11.1 Authentifizierungsversuche an externen Schnittstellen Zielobjekt: Externe Netzanschlüsse | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.11.2 Netzwerk-Honeypots Zielobjekt: Netze | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.16 Ressourcenauslastung der Server-Dienste Zielobjekt: Anwendungen | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.17 Anwendungsbasiertes Kapazitätsmanagement Zielobjekt: Anwendungen | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.18 Öffentliche Blocklisten Zielobjekt: E-Mail | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.19 Unautorisierte Sendeanlagen Zielobjekt: Räume | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.3.2 Korrelation komplexer Angriffswege ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.3.3 Historische Analyse ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.4 Regelmäßige Penetrationstests Zielobjekt: IT-Systeme | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.5 Red Teaming Zielobjekt: IT-Systeme | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.6 Threat Hunting ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.7 Analyse verdeckter Kanäle ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.8.1 Auswertung öffentlicher Quellen ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.8.1.1 Unautorisierte Publikation ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.9.1 Bonusprogramm ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.10.3 Automatisierte Überwachung von Anwendungsupdates Zielobjekt: Anwendungen | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.10.5 Test gemäß Änderungsmanagement ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.6.1.3 Dokumentation von Ergebnissen ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.6.2.1 Dynamische Sandbox-Analyse ohne Zielobjektkategorie | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.10.5.1 Automatisierte Überprüfung der Konfiguration Zielobjekt: Anwendungen | KANN | Erhöhte SicherheitsstufeErhöht |
Alle Dokumenttypen: Dokumente im Katalog.