🚨 Netwerkinbraakdetector — Live Anomaliescoring

Zodra de score de drempel overschrijdt, bekijkt de simulatie welke individuele z-scores de anomalie aandrijven. Als de z-score van verschillende poorten sterk positief is terwijl de duur-z-score sterk negatief is, komt de signatuur overeen met veel poorten aangeraakt in zeer weinig tijd — geclassificeerd als een poortscan. Als de z-scores van bytes-per-pakket en duur beide sterk positief zijn terwijl verschillende poorten laag blijft, komt de signatuur overeen met een grote, aanhoudende, smalle gegevensoverdracht — geclassificeerd als exfiltratie. Alles dat gemarkeerd wordt en niet duidelijk bij een van beide signaturen past, wordt gelabeld als generieke anomalie. Dit weerspiegelt hoe echte SOC-analisten een waarschuwing trieren: de ruwe anomaliescore zegt dat iets ongewoon is, maar de kenmerkuitsplitsing zegt welk soort ongewoon het is.

Het verlagen van de drempel markeert meer verbindingen: recall stijgt (minder echte inbraken glippen door als valse negatieven) maar precisie daalt (meer gewoon verkeer wordt ten onrechte gemarkeerd als vals positief, een effect dat analisten alert fatigue noemen). Het verhogen van de drempel doet het tegenovergestelde — minder waarschuwingen, hogere precisie, maar een groeiende kans dat echte scans of exfiltratiesessies ongemarkeerd blijven. Er is geen universeel juiste instelling: het SOC van een bank kan een hoger percentage valse positieven tolereren om meer echte bedreigingen te vangen, terwijl een dienst met een klein beveiligingsteam de drempel simpelweg kan verhogen omdat het geen vloed aan waarschuwingen kan trieren.

Echt netwerkverkeer verschuift voortdurend — een nieuwe applicatie wordt uitgerold, een back-upschema verandert, thuiswerken verschuift het tijd-van-de-dag-verkeersprofiel — een fenomeen dat concept drift heet. Een detector die eenmalig is getraind op het verkeer van vorige maand en nooit is bijgewerkt, zal langzaam uit kalibratie raken: ofwel steeds meer normaal-maar-nieuw gedrag markeren als vals positief, ofwel (erger) een langzame, doelbewuste aanval als het nieuwe normaal behandelen omdat die er geleidelijk insloop. Het opnieuw berekenen van gemiddelde en standaardafwijking uit een voortschrijdend venster van recent niet-gemarkeerde verbindingen laat de basislijn legitieme drift volgen terwijl die toch weerstand biedt tegen aanvallen die als plotselinge uitbarsting aankomen, tegen de prijs van kwetsbaarheid voor aanvallers die doelbewust langzaam genoeg opvoeren om in de basislijn te worden opgenomen — een bekende beperking die soms boiling-frog poisoning wordt genoemd.

Het behandelen van de vier kenmerken als ongecorreleerd (het optellen van onafhankelijke z-scores) negeert echte correlaties — hoge pakketsnelheid en lage bytes-per-pakket komen bijvoorbeeld van nature vaak samen voor bij normale korte verzoeken, dus een volledige covariantiematrix zou een gekantelde, elliptische normale regio tekenen in plaats van de as-uitgelijnde van deze simulatie, en zou minder van die van nature gecorreleerde punten als anomaal markeren. Productiesystemen gaan nog verder: isolation forests, autoencoders en andere machine-learningmodellen vangen niet-lineaire en hogere-orde-structuur over tientallen kenmerken, en worden doorgaans gecombineerd met handtekeningregels, threat-intelligencefeeds en menselijke analistencontrole in plaats van te vertrouwen op één enkele statistische score in isolatie.

Een vals negatief — een gemiste inbraak — kan betekenen dat er daadwerkelijk gegevens het netwerk verlaten of dat een steunpunt onopgemerkt blijft, met kosten gemeten in inbraakherstel, regelgevingsblootstelling en reputatieschade. Een vals positief kost analistentijd: iemand moet de waarschuwing openen, de logs ophalen en concluderen dat het onschuldig was. Omdat analistentijd eindig is en elk echt SOC veel meer waarschuwingen ontvangt dan het volledig kan onderzoeken, kan een detector die alleen is afgestemd op recall (alles vangen) averechts werken als hij echte waarschuwingen begraaft onder een vloed van valse — precies waarom de precisie/recall-afweging die door de drempel-schuifregelaar van deze simulatie wordt blootgelegd de centrale operationele beslissing is in echte inbraakdetectie, niet slechts een statistische curiositeit.