Use Cases

Use Case II : Zugriff von einem nicht identifizierbarem Benutzer/System 

Das Ziel:

• Alle produktiven Geschäftsvorfälle, Applikationen und/oder Datenbanken, welche im Zusammenhang mit der IT stehen, werden dauerhaft auf Zugriffe und Geschäftsregeln überwacht.
• Während der Überwachung können Ereignisse anfallen, welche an die Verantwortlichen gemeldet und untersucht werden müssen.
• Ein zeitlich wiederkehrender Bericht aus dem Überwachungssystem an die Verantwortlichen und das Management ist für eine interne Übersicht und Kontrolle unabdingbar.

Die Erfolgsfaktoren:

• Ein Systemzugriff auf eine Applikation und/oder Datenbank erfolgt.
• Alle Applikations- und Datenbankzugriffe befinden sich in ständiger Überwachung im Zusammenspiel mit dem Rollen- und Berechtigungskonzept.
• Beim Auftreten eines Störfalls (Regeln – Policies wurden verletzt), wird eine Benachrichtigung mit hoher Priorität an eine und/oder mehrere Personen versendet.
• Das Ereignis wird protokolliert und zum Assessment den Verantwortlichen zur Verfügung gestellt.

Use Case IV : Zusammenführung von bestehenden Ereignissen gleicher Konfiguration/Eigenschaften 

Das Ziel:

• Im Wesentlichen kann jede Benutzeraktivität in einer Applikation, Datenbank oder Geschäftsvorfall, die von der aktiven Überwachung erkannt wird, als Sicherheitsereignis betrachtet werden.
• Ein solches Ereignis kann ein Benutzer sein, der im Rahmen eines Geschäftsvorfall arbeitet, oder ein Administrator, der Wartungsarbeiten durchführt.
• Hierbei ist zu beachten, dass ein Sicherheitsereignis daher nicht mit einer Sicherheitswarnung identisch ist.
• Sicherheitsereignisse können alles sein, von normalen Benutzeraktivitäten bis hin zu böswilligen Versuchen, auf vertrauliche Daten zuzugreifen oder diese zu manipulieren.
• Im ersten Fall können die Ereignisse ignoriert werden oder es müssen zumindest keine Maßnahmen ergriffen werden.
• Im zweiten Fall sollte die Verantwortlichen zumindest auf potenziell böswillige Aktivitäten aufmerksam gemacht werden. Bei Bedarf kann ein Sicherheitsalarm ausgelöst werden.

Die Erfolgsfaktoren:

• Das Zusammenführen von Ereignissen bedeutet, harmlose Aktivitäten von potenziell gefährlichen Aktivitäten zu trennen und das Risiko dieser Aktivitäten zu bewerten.
• Dazu werden ein oder mehrere Ereignispakete erstellt und ein Bewertungsprozess für jedes der Pakete abgeschlossen.
• Sobald ein Ereignispaket bewertet wurde, ist es aktiv und kann nicht mehr geändert werden.
• Änderungen an einem aktiven Paket, die im Laufe der Zeit erforderlich werden, sind möglich, indem mit der Neubewertung oder dem Antrag auf Stilllegung eines Pakets begonnen wird.
• Da einige Systeme von mehreren Anwendungen gemeinsam genutzt werden, werden einige Ereignisse möglicherweise nicht korrekt der richtigen Anwendung zugewiesen.
• In diesem Fall können diese Ereignisse neu zugewiesen werden, indem ein Bundle erstellt und ein Neuzuweisungsprozess abgeschlossen wird.
• Auf diese Weise können Ereignisse, die nicht zur Anwendung gehören, dem richtigen Geschäftsvorfall zugewiesen werden.

Die Ereignisverwaltung umfasst daher die folgenden Aufgaben:

• Überprüfen der Sicherheitsereignisse in einer integrierten Datenbank. Die Ereignisdetails sind im Überwachungssystem verfügbar.
• Trennen der verschiedenen Arten von Ereignissen. Dies erfolgt durch Erstellen von Ereignispaketen.
• Bewertung des Risikos dieser Sicherheitsereignisse. Dies erfolgt durch Abschluss eines Bewertungsgeschäftsprozesses, der auch als Bewertungsanforderung bezeichnet wird.