Falschmeldung
Was ist eine Fehlerkennung (falsch positives Ergebnis)?
Eine Fehlerkennung, auch als „falsch positives Ergebnis“ bezeichnet, liegt vor, wenn legitime Elemente oder Verhaltensweisen fälschlicherweise als schädlich oder unzulässig eingestuft werden. Beispielsweise kann eine Antivirensoftware ein sicheres, legitimes Softwareprogramm irrtümlich als Schadsoftware klassifizieren. Ebenso kann es bei Web Application Firewalls (WAFs), die den Webverkehr auf potenzielle Bedrohungen analysieren, zu Fehlerkennungen kommen, sodass legitime Anfragen fälschlicherweise als schädlich eingestuft werden.
Fehlalarme bei Sicherheitsgeräten verursachen einen erhöhten Betriebsaufwand, da zusätzliche Ressourcen benötigt werden, um die Warnmeldungen zu untersuchen und zu beheben. Umgekehrt kann das gegenteilige Szenario – „falsch negative Ergebnisse“, bei denen bösartige Aktivitäten fälschlicherweise als legitim eingestuft werden – unmittelbare Sicherheitsrisiken bergen. Sowohl falsch positive als auch falsch negative Ergebnisse so weit wie möglich gegen null zu reduzieren, bleibt eine kontinuierliche Priorität.
Falsch-negative Ergebnisse treten häufig auf, wenn Sicherheitslösungen neue, bislang unbekannte Angriffssignaturen nicht erkennen. Um neuen Bedrohungen zu begegnen, aktualisieren Systeme regelmäßig ihre Signaturen, damit neu aufkommende Angriffstechniken blockiert werden. Zu weitreichende Anpassungen, die Sicherheitslücken schließen sollen, können jedoch unbeabsichtigt legitime Vorgänge als Bedrohung einstufen und dadurch die Zahl falsch-positiver Ergebnisse erhöhen.
F5 Networks bietet über seine Produktlinie F5 BIG-IP eine Web Application Firewall (WAF)-Lösung an, die darauf ausgelegt ist, dieses Problem wirksam anzugehen und zu minimieren. BIG-IP umfasst Mechanismen wie das Staging von WAF-Signaturen, mit denen Sicherheitssignaturen vor der Bereitstellung sorgfältig validiert und optimiert werden können. Dadurch werden der Verwaltungsaufwand und die Betriebskosten im Zusammenhang mit der Bearbeitung von Fehlalarmen, die durch Signaturaktualisierungen entstehen, erheblich reduziert.
