Jede gemeldete E-Mail wird für Sie überprüft: Bestätigte Bedrohungen werden innerhalb weniger Minuten beseitigt

Laut einer Studie von Omdia und Microsoft werden 42% der Warnmeldungen überhaupt nicht untersucht, insbesondere außerhalb der Arbeitszeiten, wenn die Warteschlangen mit Sicherheitswarnungen über Nacht unbeachtet bleiben. Genau in der Lücke zwischen dem, was gemeldet wird, und dem, was untersucht wird, treten Sicherheitsvorfälle auf. Mimecast Managed Threat Response schließt diese Lücke und bietet einen modernen 24/7-Service, der die von Benutzern gemeldeten E-Mails für Sie bearbeitet.

Das Problem: Eine Warteschlange, die schneller wächst als die Mitarbeiterzahl

Von Nutzern gemeldete Phishing-Vorfälle fallen genau in jene problematische Lücke, in der das Risiko liegt. Da Programme zum Sicherheitsverhaltensmanagement immer ausgereifter werden und die Mitarbeiter immer besser darin sind, verdächtige E-Mails zu erkennen, steigt die Zahl der gemeldeten E-Mails. Das ist das angestrebte Ergebnis – mehr Aufmerksamkeit und mehr Meldungen –, doch damit entsteht ein Problem zweiter Ordnung: Ein Postfach für Missbrauchsmeldungen, das sich schneller füllt, als es ein SOC manuell bearbeiten kann, und diese Lücke lässt sich nicht allein durch die Einstellung weiterer Mitarbeiter schließen.

Die meisten Teams reagieren so, wie sie auf jede Warteschlange reagieren, die sie nicht abarbeiten können: Sie stufen sie als weniger wichtig ein. Berichte werden auf die Geschäftszeiten gebündelt, an Nachwuchsanalysten weitergeleitet oder erst dann geprüft, wenn jemand den Fall eskaliert. Den meisten SOCs fehlt nach wie vor eine schlüssige Strategie für den Umgang mit den Daten, die in ihre Tools einspeisen, und Branchenstudien zeigen, dass mehr als die Hälfte der Sicherheitsteams angibt, vom Umfang der Warnmeldungen überfordert zu sein – nicht im abstrakten Sinne unterbesetzt, sondern strukturell überfordert.

Dieses Ungleichgewicht wird noch dadurch verschärft, dass bei den meisten von Nutzern gemeldeten Warteschlangen keine automatisierte Anreicherung stattfindet: keine Überprüfung der Absenderreputation, keine mandantenübergreifende Korrelation und kein Abgleich auf Ähnlichkeiten mit einer bekannten Kampagne. Für jeden Bericht muss ein Mensch bei Null anfangen. Die Lautstärke steigt an. Der Kontext bleibt unverändert. Das Ergebnis ist eine Warteschlange, die größtenteils aus harmlosen Einsendungen besteht, gemischt mit einer geringen Anzahl echter Bedrohungen, und es gibt keine zuverlässige Möglichkeit, diese bei der von der Warteschlange geforderten Geschwindigkeit voneinander zu unterscheiden.

So sieht eine gute Verteidigung aus

Die Lösung besteht nicht darin, sich zwischen Automatisierung und Analysten zu entscheiden, sondern darin, diese richtig aufeinander abzustimmen. Erkennung, Triage und Behebung sind drei unterschiedliche Aufgaben, und wenn man sie als eine einzige behandelt, scheitert man angesichts des Arbeitsvolumens. KI eignet sich besonders gut für die ersten beiden Aufgaben: die Einstufung einer gemeldeten E-Mail, den Abgleich mit bekannten Kampagnenmustern und die Herausfiltrierung des geringen Prozentsatzes, der eine menschliche Beurteilung erfordert. Was man der KI nicht allein überlassen sollte, sind Korrekturmaßnahmen, die Entscheidung, einen Absender zu sperren, oder die Aktualisierung der Erkennungslogik auf der Grundlage des bestätigten Ergebnisses eines Algorithmus. In der Umfrage von Torq zum Thema KI-Sicherheit und Vertrauen nannten 34.% e der SOC-Teams den übermäßigen manuellen Prüfungsaufwand als ihren größten Kritikpunkt bei der KI-basierten Triage, während unzuverlässige Schlussfolgerungen den größten Kritikpunkt bei KI-gestützten Untersuchungen darstellten. Die Teams, die die Lücke in der Untersuchung schließen, sind diejenigen, die diese Arbeitsteilung bewusst aufbauen: Die Automatisierung übernimmt das Volumen, die Analysten treffen die Ermessensentscheidungen, und der Kreislauf zwischen „Wir haben diese Bedrohung erkannt“ und „Unsere Erkennungslogik ist nun darüber informiert“ bleibt eng.

Der Mimecast-Aspekt

Mimecast Managed Threat Response basiert genau auf dieser Abfolge von Schritten, doch der Grund dafür, dass es die Lücke schneller schließt als eine manuell besetzte Warteschlange, liegt in den Änderungen, die hinter den Kulissen vorgenommen wurden. Der Dienst basiert auf einer völlig neuen Architektur zur Gefahrenabwehr: Unsere firmeneigene KI prüft jede von Nutzern gemeldete E-Mail unmittelbar nach ihrem Eingang – nicht nach einem festgelegten Zeitplan und auch nicht im Nachhinein in einem Stapel –, und leitet nur die bestätigten Bedrohungen an einen Mitarbeiter weiter. Die Analysten des Mimecast Security Operations Center leiten diese Bestätigungen anschließend rund um die Uhr weiter, sperren den Absender oder die Domain, entfernen eine gesamte Kampagne mandantenweit und aktualisieren die Erkennungslogik entsprechend dem Ergebnis, wobei die Abhilfemaßnahmen innerhalb von Minuten erfolgen, anstatt in einer Warteschlange zu verbleiben, bis sich jemand darum kümmert.

Diese Geschwindigkeit verstärkt sich im Laufe der Zeit zu etwas noch Stärkerem. Die Erkennungslogik wird kontinuierlich verbessert, da bestätigte Bedrohungen im gesamten Kundenstamm von Mimecast mit mehr als 42.000 Kunden identifiziert werden. Das bedeutet, dass eine vom SOC einer Organisation als Bedrohung bestätigte Gefahr die Erkennung für jeden anderen Mandanten auf der Plattform verbessert. Eine bei einem Unternehmen aufgedeckte Kampagne zieht das Netz für alle enger, noch bevor die meisten SOCs die Triage des ersten Meldungsfalls abgeschlossen hätten.

Für Ihr internes Sicherheitsteam ist diese operative Umstellung ebenso bewusst gewählt: Es muss keine neue Konsole erlernt, kein KI-Modell angepasst und kein Personal für Analysten finanziert werden. Das Ergebnis wird im Dashboard angezeigt, nicht die Arbeitslast. „Managed Threat Response“ lässt sich nahtlos in den bestehenden Ablauf des Kunden hinsichtlich der Meldefunktion und des Postfachs für Missbrauchsmeldungen integrieren, sodass sich für Mitarbeiter, die verdächtige E-Mails melden, nichts ändert; was sich ändert, ist der weitere Verlauf dieser Meldung nach dem Absenden. Es handelt sich zudem um das erste Produkt einer erweiterten Palette von Managed Services, die Mimecast auf den Markt bringen will, wobei diese Abfolge aus Erkennung, Einstufung und Behebung über die Warteschlange für gemeldete E-Mails hinaus ausgeweitet wird.

Was dies für die Sicherheitsteams bedeutet

Die Lücke bei den Ermittlungen schließt sich nicht von selbst, und wenn Sie Ihre Einstellungen so anpassen, dass die Warteschlange leiser wird, tauschen Sie lediglich Transparenz gegen Stille ein. Wenn Ihr SOC gemeldete E-Mails manuell sortiert, die Warteschlange über Nacht in Stapeln bearbeitet oder sich auf Nachwuchsanalysten verlässt, um den Überblick zu behalten, sollten Sie sich fragen, wie viele dieser Meldungen tatsächlich noch einmal gründlich geprüft werden und wie viele genau dort liegen bleiben, wo ein Angreifer sie gerne hätte. Sprechen Sie mit Ihrem Mimecast-Team über „Managed Threat Response“, um zu erfahren, wie eine KI-gestützte Triage und von Analysten bestätigte Abhilfemaßnahmen diese Lücke in Ihrer Umgebung schließen können. Sind Sie noch kein Mimecast-Kunde? Erfahren Sie mehr über „Managed Threat Response“ oder Angebot einholen, um zu erfahren, wie sich diese Lösung in Ihre Umgebung einfügt.