Einen Alarm um 3 Uhr nachts lesen: Wie gute Triage wirklich aussieht
Der Unterschied zwischen einem reifen SOC und einem teuren Alarmweiterleiter zeigt sich in den ersten vier Minuten eines Vorfalls. Hier ist die Abfolge.
SOC console, live detection view
Real console screenshot with a genuine timeline and alert queue, identifiers removed. Do not fabricate alert volumes.
2400×1350 · PNG · @2x
Um 03:12 Uhr feuert ein Alarm. Impossible Travel: dasselbe Konto hat sich elf Minuten auseinander aus Richmond und von einem Hosting-Anbieter in einem anderen Land authentifiziert. Das kann Ihnen ein Werkzeug sagen. Was danach passiert, hängt vollständig an Menschen und Prozess.
Minute eins — ist das echt?
Impossible Travel ist eine der lautesten Detections überhaupt. Ein VPN, ein Unternehmensproxy, ein Mobilfunkanbieter, der über eine andere Region routet, eine geplante Aufgabe auf einer Cloud-VM mit Dienstkonto. Vor allem anderen klärt der Analyst, ob der zweite Standort erklärbar ist. Kommt das „unmögliche“ Bein aus Ihrem eigenen Egress-Bereich, ist der Alarm ein Tuning-Problem, kein Vorfall.
Minute zwei — was hat die Sitzung getan?
Hier hören die meisten Alarmweiterleitungsdienste auf, und hier beginnen echte Untersuchungen. Ein Login ist kein Vorfall. Ein Login, gefolgt von einer Postfachregel, die alles an eine externe Adresse weiterleitet und die gesendete Kopie löscht, ist ein Vorfall — und beide Ereignisse liegen in verschiedenen Logs.
- Neue Postfach- oder Mailflow-Regeln, insbesondere Weiterleitung oder automatisches Löschen
- MFA-Methode hinzugefügt, geändert oder vom neuen Standort registriert
- Zustimmung für eine OAuth-Anwendung erteilt
- Massenzugriff oder Massendownload auf den Dokumentenspeicher
- Jede Rechteänderung am Konto oder an anderen
Ein Login ist kein Vorfall. Ein Login plus eine neue Weiterleitungsregel ist ein laufender Einbruch mit fünfzehn Minuten Vorsprung.
Minute drei — Umfang klären, bevor Sie handeln
Der Instinkt sagt: Konto sofort deaktivieren. Manchmal ist das richtig. Aber ein Angreifer, der den Zugang abrupt verliert, weiß, dass er gesehen wurde — und hat er ein zweites Standbein etabliert, haben Sie ihm gerade gesagt, es zu benutzen. Zwei Minuten, um zu klären, ob dieses Konto das einzige betroffene ist, sind meist gut investiert — und das ist eine Ermessensfrage, die einen Analysten braucht, keinen Playbook-Zweig.
Minute vier — eindämmen, dann jemanden wecken
Widerrufen Sie Sitzungen und Refresh-Token, nicht nur das Passwort — ein bloßes Zurücksetzen lässt ein bestehendes Token bis zum Ablauf gültig. Entfernen Sie die bösartigen Regeln, nachdem Sie sie protokolliert haben. Dann greifen Sie zum Hörer. Um 3 Uhr nachts ist es richtig, für eine echte Kontokompromittierung die passende Person zu wecken — und ein SOC, das diesen Anruf scheut, um niemanden zu verärgern, liefert nicht die Leistung, die Sie eingekauft haben.
Was am nächsten Morgen passiert
Der Teil, der eine Dienstleistung von einem Abonnement unterscheidet: die Detection wird nachgezogen. War der Alarm Rauschen, wird die Regel angepasst, damit derselbe Fehlalarm nicht erneut feuert. War er echt, wird die Lücke, die ihn ermöglicht hat — kein Conditional Access auf dem Konto, kein Token-Schutz, kein Alarm auf OAuth-Zustimmungen — zu einer schriftlichen Empfehlung mit einem Verantwortlichen. Ein Vorfall, aus dem Sie nicht lernen, ist ein Vorfall, dem Sie zugestimmt haben, noch einmal zu erleben.