Schutz vor Ransomware

Das RZ Trier hat auf seinem zentralen Daten-Speichersystem seit Kurzem eine Software installiert, die auf der Grundlage eines konfigurierbaren Regelwerks Anomalien oder Auffälligkeiten analysiert. Wenn diese auf einen Ransomware-Angriff hindeuten, werden ggf. automatisiert geeignete Gegenmaßnahmen getroffen.

In einer ersten Phase wird das System über einen längeren Zeitraum trainiert, um das „normale Nutzungsverhalten“ zu lernen, d.h. das Regelwerk wird angepasst, damit möglichst gut zwischen normalem Verhalten und Anomalie unterschieden wird. In dieser Phase werden zwar Anomalien protokolliert, aber keine automatisierten Gegenmaßnahmen getroffen.

Die o.g. Trainingsphase des Systems ist inzwischen abgeschlossen. Bevor nun die Produktivphase mit automatisierten Gegenmaßnahmen aktiviert wird, was konkret die Sperrung einzelner Hochschulkennung bei anomalem Verhalten bedeutet, möchten wir eine Erprobungsphase starten, in der Administratoren und betroffene Nutzer*innen per E-Mail über anomales Verhalten informiert werden, aber noch keine Sperrung vorgenommen wird. Durch Rücksprache mit den Nutzern*innen soll das Regelwerk in dieser Phase weiter verbessert werden, um sogenannte „false positives“ zukünftig weitgehend zu vermeiden.