Incidentdetektion

Incidentdetektion bezeichnet den Prozess der Erkennung von Ereignissen, die potenziell einen Sicherheitsvorfall, eine Fehlfunktion oder eine Störung in einem System signalisieren. Ziel ist es, solche Ereignisse frühzeitig zu identifizieren, um zeitnah Gegenmaßnahmen einleiten zu können und Auswirkungen zu begrenzen. Die Disziplin findet in IT-Sicherheit, in der industriellen Prozessüberwachung, im betrieblichen Betriebssicherheit und im Service- bzw. Systembetrieb Anwendung.

Typische Ansätze umfassen regelbasierte Erkennung, Signaturen, Korrelationslogik und Signaturdatenbanken, sowie Anomalieerkennung, maschinelles Lernen und Zeitreihenanalysen. Regelbasierte Methoden suchen nach bekannten Mustern oder Vorgängen, während Anomalieerkennung ungewöhnliche Abweichungen identifiziert. Modernere Systeme kombinieren oft mehrere Ansätze in einem Incident-Detection-Workflow.

Datenquellen umfassen Protokolle von Servern, Anwendungen und Netzwerken, Sicherheitsereignisse, Telemetriedaten von Sensoren sowie Verhaltensinformationen von Benutzern. Die Detektion umfasst Datensammlung, Normalisierung, Korrelation, Alarmgenerierung und -triage, sowie Integration in Incident-Response-Prozesse.

Anwendungsfelder sind IT-Sicherheit (Intrusion Detection Systeme, SIEM), industrielle Automatisierung (Fault Detection, Prozessüberwachung) sowie Service- und Zuverlässigkeitsengineering (SRE, Verfügbarkeits- und Fehlererkennung).

Herausforderungen umfassen Datenqualität, Privatsphäre, Latenz, Skalierbarkeit, Bedienungsaufwand, False-Positive- sowie False-Negative-Raten und die Integration in operative Abläufe. Standardisierungen und Rahmenwerke wie NIST, ISO/IEC 27035 und IEC 62443 unterstützen das Incident-Management, einschließlich Detektion, Reaktion und Wiederherstellung.