Aggregation

Aggregation heißt, Daten aus vielen Datensätzen, Systemen oder Ereignissen zu einer Menge oder einer Zusammenfassung zu verbinden. Ein Log-Server, der Ereignisse von Hunderten Rechnern sammelt, aggregiert. Ein Bericht, der Tausende Zeilen zu einer Summe, einem Durchschnitt oder einer Anzahl verdichtet, tut es ebenso.

In der Sicherheit hat das Wort zwei Seiten. Die erste ist eine Technik: verstreute Daten zusammenbringen, damit sie sich durchsuchen, zählen und vergleichen lassen. Die zweite ist ein Risiko: Teile, die einzeln harmlos sind, können nebeneinander sensibel werden. Die Zusammenfassung selbst hat eine eigene Seite, aggregierte Informationen. Hier geht es um den Vorgang und seine Wirkung auf die Datenklassifizierung.

Der Ablauf ist derselbe, ob am Ende ein Dashboard oder ein Alarm steht. Die Qualität hängt vom zweiten Schritt ab: Datensätze, die sich nicht demselben Benutzer oder derselben Minute zuordnen lassen, können nicht verbunden werden.

1. 1

   Sammeln

   Datensätze oder Ereignisse aus mehreren Quellen zusammentragen, etwa Logs, Datenbanken und Agenten auf Endgeräten.

2. 2

   Angleichen

   Felder in eine gemeinsame Form bringen: Zeitzone, Benutzerkennung, Feldnamen.

3. 3

   Verbinden

   Datensätze nach einem gemeinsamen Schlüssel gruppieren oder verknüpfen, zum Beispiel Benutzer, Host oder Zeitfenster.

4. 4

   Zusammenfassen

   Auf jede Gruppe eine Funktion anwenden, etwa Anzahl, Summe oder Maximum, oder die verbundenen Datensätze für die Suche behalten.

Sicherheitsteams aggregieren, weil ein einzelnes Ereignis selten die ganze Geschichte erzählt. Ein zentraler Log-Speicher, ein Schwellenwert-Alarm und ein Risikowert beruhen auf derselben Idee auf verschiedenen Ebenen. Ereignisse an ein SIEM-System zu senden ist eine gängige Form, und Verhaltensanalyse wie UEBA baut auf Aktivität auf, die über die Zeit verbunden wird.

Die Risikoseite der Aggregation ist alt und einfach. Jede Angabe in einer Liste kann öffentlich oder wenig wertvoll sein: ein Name, eine Abteilung, ein Projektcode, ein Reisedatum. Zusammen können sie eine Kundenliste, ein noch nicht angekündigtes Geschäft oder die Bewegungen einer Person offenlegen. Sicherheitsleitfäden nennen das Aggregationsproblem, und der Mosaikeffekt beschreibt dasselbe Muster.

Die Folge: Eine Zusammenstellung kann eine höhere Einstufung verdienen als jede ihrer Quellen. Wer einen Bericht, einen Export oder einen gemeinsamen Datenspeicher aufbaut, sollte fragen, was das Ganze offenlegt, und nicht nur, was jede Spalte enthält, und das Ergebnis als sensible Informationen behandeln, wenn die Antwort ernst ausfällt.

Die drei Begriffe werden oft locker verwendet und leicht verwechselt. Sie beschreiben verschiedene Schritte, und jeder verlangt eine andere Kontrolle.

In Anexet Activity ist die statistische Sicherheitsregel Aggregation in ihrer direktesten Form: Die Regel zählt Ereignisse eines gewählten Typs, etwa E-Mails, Unterhaltungen oder Webanfragen, innerhalb einer Stunde, eines Tages, einer Woche oder eines frei gewählten Zeitraums und löst aus, wenn die Anzahl einen Schwellenwert überschreitet. Für Berichte erstellt die Konsole konsolidierte Berichte mit Spalten für Summe und Tagesdurchschnitt, und Sicherheitsberichte bringen die Ergebnisse zu denen, die sie prüfen.

1 / 2

• 
• 

Die Kontrollen gehen von einer Tatsache aus: Ein verbundener Datenbestand ist ein neues Asset. Er braucht einen Verantwortlichen, eine Einstufung und eine eigene Zugriffsregel.

• Die Zusammenstellung danach einstufen, was sie als Ganzes offenlegt, nicht nach der am wenigsten sensiblen Quelle
• Begrenzen, wer große verbundene Berichte erstellen, exportieren oder planen darf
• Die Quelldaten genauso schützen wie den verbundenen Bestand
• Eine Mindestgruppengröße für breit geteilte Zusammenfassungen festlegen
• Auf ungewöhnliches Volumen achten: viele Abfragen oder Exporte eines Benutzers in kurzer Zeit können das erste Anzeichen für Datenabfluss sein

Listen Sie die Stellen auf, an denen Ihre Organisation schon Daten verbindet: zentrale Logs, geteilte Berichte, Exporte für Partner, Analyseumgebungen. Notieren Sie für jede, was das Ganze offenlegt und wer es sehen kann, und vergleichen Sie das mit der Einstufung der Quellen.

Das Zählen von Ereignissen kommt an zweiter Stelle. Wenn Sie wissen, wie ein normales Volumen für ein Team aussieht, zeigt Ihnen eine Schwellenwertregel, wann jemand davon abweicht.