Reaktion auf Vorfälle: Wie man Cybervorfälle weniger chaotisch gestaltet

Alle Unternehmen stehen unweigerlich vor einem Sicherheitsvorfall.

Es ist nur eine Frage der Zeit, und wenn es passiert, wird die Reaktion Ihrer Organisation den Ruf, die Zeit und den Umsatz Ihres Unternehmens beeinflussen. Um größere Auswirkungen zu minimieren, müssen Sie eine Reaktion planen, bevor ein Sicherheitsvorfall tatsächlich eintritt.

Die Erstellung eines effektiven Incident-Response-Plans wird einen langen Weg bei der Bewältigung von Sicherheitsvorfällen gehen und Ihnen einen verlässlichen Rahmen bieten, um die Betriebsverfahren einzurichten. Stellen Sie sicher, dass Sie die Incident-Response-Richtlinie präzise an alle Teams in der Organisation kommunizieren und daran arbeiten, die Richtlinie während eines tatsächlichen Cyberangriffs umzusetzen.

Sicherheitsvorfälle sind nicht nur ein technisches Problem, sondern auch ein Problem, das Unternehmen aus verschiedenen Blickwinkeln betrifft. Wenn sie nicht richtig gehandhabt werden, können sie rechtliche Probleme verursachen, die zu hohen Geldstrafen für Ihre Organisation führen können, abhängig von der Art der kompromittierten Informationen oder Vermögenswerte.

Um solche Situationen zu vermeiden, erstellen Sie eine Incident-Response-Richtlinie, damit Sie wissen, was zu tun ist und wie Sie den Schaden begrenzen können, wenn ein unglücklicher Vorfall eintritt.

Bevor Sie sich eingehend mit dem Verständnis von Incident Response befassen, nehmen wir uns einen Moment Zeit, um die Fachbegriffe und Terminologien zu klären, die wir im Artikel verwenden werden. IT-Manager verwenden spezifische Begriffe basierend auf ihrer bisherigen Erfahrung in der Branche, was zu Verwirrung führen kann, da andere die Bedeutung möglicherweise anders verstehen.

Die grundlegendsten Begriffe hier sind Ereignis und Vorfall. Ein Ereignis ist jede beobachtbare Vorkommnis in einem System oder Netzwerk, nicht unbedingt bösartig. Die spezielle Veröffentlichung des National Institute of Standards and Technology (NIST) definiert einen Vorfall als eine Verletzung oder drohende Verletzung von Computersicherheitsrichtlinien, akzeptablen Nutzungsrichtlinien oder standardmäßigen Sicherheitspraktiken.

Wenn Sie zuvor in der ITSM-Branche gearbeitet haben, erinnern Sie sich möglicherweise an eine andere Definition eines Vorfalls. Beide beziehen sich auf ungeplante Unterbrechungen im Dienst oder eine Verringerung der Dienstqualität. In diesem Artikel werden wir uns jedoch mehr auf einen Vorfall im Zusammenhang mit Computersicherheit konzentrieren, der die Cybersicherheit einer Organisation gefährdet.

Warum ist Incident Response wichtig?

Hacker entwickeln sich ständig weiter, ebenso wie ihre Methoden. Mit einer Reihe von Angriffsvektoren, die perfekt in der Lage sind, einen Cyberangriff an der digitalen Front Ihres Unternehmens zu konvergieren, können Sie es sich nicht leisten, mit Ihrer Reaktionsstrategie zu experimentieren.

Sie sollten einen klaren und einfachen Handlungsplan haben, bevor ein Ereignis eintritt. Angesichts der aktuellen Bedrohungslage im Cyberbereich ist es nicht die Frage, ob ein Sicherheitsverstoß passiert. Es ist eher eine Frage des Wann, und wenn ein Cyber-Sicherheitsvorfall eintritt, müssen Sie bereit sein.

Ein Incident-Response-Plan ermöglicht es Ihnen, während einer Sicherheitskrise proaktiv zu sein und bietet Ihnen die notwendige Klarheit, um sie einzudämmen und Ihrer Organisation bei der Erholung zu helfen. Darüber hinaus drängt er auf einen präventiven Ansatz. Neben der Schaffung der Grundlage für die Reaktion hilft er Organisationen, aus Vorfällen zu lernen und präventive und Abhilfemaßnahmen zu ergreifen, um sie in Zukunft zu vermeiden.

Abschließend gilt: Je schneller Sie mit einem gut durchdachten Plan auf einen Sicherheitsvorfall reagieren, desto besser können Sie Ihrer Organisation helfen, die Auswirkungen zu minimieren. Sie haben viele bewegliche Teile in einem Sicherheitsvorfall: Drittanbieter, rechtliche und staatliche Behörden, Presse und andere.

Ein ordnungsgemäßer Incident-Response-Plan wird Ihnen helfen, in stressigen Zeiten Klarheit über das Vorgehen zu bewahren. Er wird die chaotische Zeit ein wenig weniger hektisch und viel effektiver machen.

4 Phasen einer Incident Response

Bevor Sie sich mit den vier Phasen der Incident Response befassen, ist es von entscheidender Bedeutung, dass Sie einen Kommunikationsplan haben, damit Sie bei einem tatsächlichen Vorfall nicht damit kämpfen, Ihr Computer-Sicherheitsvorfall-Reaktionsteam effektiv zu mobilisieren. Es ist ratsam, Ihr Team mit Incident-Response-Software auszustatten, um verschiedene Prozesse zu automatisieren, und/oder ihnen die notwendigen Werkzeuge bereitzustellen, um Sicherheitsverletzungen zu finden und zu beheben.

1. Vorbereitung

Reservieren Sie zunächst einen Ort, an dem sich Ihr Team versammeln und auf eine Reaktion hinarbeiten kann. Dieser Ort wird oft als Kriegsraum oder Kommandozentrale bezeichnet. Wenn Ihre Teams an verschiedenen Standorten eingesetzt sind, sollten Sie einen sicheren Kommunikationskanal in Betracht ziehen. Vermeiden Sie es, sich auf Ihre früheren Kommunikationskanäle zu verlassen, da Sie zunächst nicht wissen, ob sie kompromittiert wurden.

Wenn Ihre Teammitglieder remote arbeiten, sollten Sie sie mit einer sicheren Videokonferenz-Software ausstatten und deren Funktionen, wie Breakout-Räume, nutzen, um eine effektive Zusammenarbeit zu gewährleisten.

Richten Sie ein Kontaktverzeichnis ein, das alle Mitglieder der Incident-Response-Teams abdeckt, und haben Sie eine Bereitschaftsperson, auch nachts. Es ist am besten, wenn die Bereitschaftsverantwortung von einigen Mitgliedern geteilt wird, die sie routinemäßig übernehmen. Wie bereits erwähnt, ist ein Sicherheitsvorfall nur eine Frage der Zeit, und er kann sogar um 3 Uhr morgens passieren. Eine Bereitschaftsperson würde Ihrer Organisation die Unterstützung garantieren, die sie von Ihrem Team in ungünstigen Situationen benötigt.

Während eines Vorfalls benötigen Ihre Teams ein Arsenal an Hardware und Software, um den tobenden Cyberangriff zu bekämpfen. Es ist ratsam, diese Werkzeuge im Voraus auszuwählen, um Ihre Teams darauf zu schulen, damit sie einsatzbereit sind.

Sie können auch helfen, einen Cyberangriff zu verhindern, indem Sie das Unternehmen mit den besten Sicherheitstools ausstatten. Typischerweise wäre dies die Aufgabe des IT-Betriebspersonals, aber Sie können Ihre Vorschläge basierend auf Ihrer Erfahrung und den Erkenntnissen aus der Handhabung von Vorfällen hinzufügen. Sie benötigen ein digitales Forensik-Toolkit, um eine gründliche Analyse der IT-Umgebung durchzuführen.

Vielleicht hilft es Ihnen, die Kosten für Hardware und Software in Ihr Budget aufzunehmen, um die finanzielle Seite des Incident-Response-Teams zu strategisieren. Als nächstes benötigen Sie technische Ressourcen und Informationen, um den Vorfall richtig einschätzen zu können. Sie können Bedrohungsmodellierung durchführen, um die Netzwerksicherheitsoperationen zu planen und zu optimieren.

2. Erkennung und Analyse

Bevor Sie Ihren Incident-Response-Plan in die Tat umsetzen, müssen Sie sicher sein, dass ein Vorfall eingetreten ist. Um einen Vorfall zu erkennen, müssen Sie nach Vorläufern oder Indikatoren suchen.

Zum Beispiel, wenn Ihre Protokolle zeigen, dass jemand Port-Scanning oder Schwachstellen-Scanning auf Ihrem System durchgeführt hat. Dies ist ein Vorläufer, da Angreifer möglicherweise das System auf Schwachstellen scannen, bevor sie den Cyberangriff starten. Auch wenn eine neue Sicherheitslücke in einer der von Ihnen verwendeten Drittanbieter-Softwarelösungen gefunden wird, kann dies als Vorläufer angesehen werden. Der Hacker könnte diese Schwachstelle rückentwickeln, um einen Angriff auf Ihre Organisation zu konvergieren.

Ein Beispiel für einen Indikator kann sein, wenn Ihr Intrusion-Detection-System Sie über eine bösartige Software informiert, die versucht, von einem Ihrer Hosts im Netzwerk aus zu senden. In ähnlicher Weise können die Anzeichen, die darauf hinweisen, dass jetzt etwas Bösartiges passiert, als Indikatoren behandelt werden.

In der Erkennungsphase müssen Sie nach den Indikatoren für Kompromittierung (IOC) suchen. Dies sind Anzeichen, die Ihnen mit hoher Sicherheit sagen, dass ein Vorfall eingetreten ist. Typischerweise können Sie nach Malware-Signaturen, URLs oder Domainnamen bösartiger Websites, Botnet-Command-and-Control-Servern und vielen mehr suchen.

Sie erhalten diese Anzeichen von Intrusion-Detection- und Präventionssystemen, SIEM-Systemen, Antispam- und Antivirensystemen, Software zur Überprüfung der Dateiintegrität und anderen Drittanbieter-Überwachungstools. Sie können auch die öffentlich verfügbaren Informationen nutzen, wie die neuesten Schwachstellen, die in der nationalen Schwachstellendatenbank aktualisiert werden, und andere zuverlässige Quellen.

Nachdem Sie die Indikatoren identifiziert haben, besteht der nächste Schritt darin, eine Analyse durchzuführen. Es ist wichtig, da Sie Anzeichen eines Vorfalls aus unzuverlässigen Quellen erhalten könnten. Zum Beispiel ein Benutzer, der behauptet, dass sein System extrem langsam geworden ist. Dies kann auf Malware zurückzuführen sein oder es kann einfach ein beschädigtes Programm sein. Sie müssen sicherstellen, dass es sich um einen echten Eindringling handelt, und dann mit der Reaktion beginnen.

Es ist ratsam, ein Team von Incident-Handlern zu haben, die eine gründliche Analyse der Anzeichen durchführen können.

Mit der modernen Technologie, die sich schnell entwickelt, wird eine solche Analyse durch Automatisierung durchgeführt, aber Sie benötigen immer noch echte, atmende und lebende menschliche Ressourcen, um die richtigen Entscheidungen bei der Verwaltung dieser Triage zu treffen. Um die richtige Entscheidung zu treffen, sollte das Incident-Response-Team ein tiefes Verständnis der Baseline der IT-Assets und Endpunkte der Organisation erlangen. Wenn Sie wissen, wie normal aussieht, können Sie schnell die seltsamen Dinge herausfinden.

Technologie wie SIEM-Systeme stattet Ihr Team mit Fähigkeiten wie Ereigniskorrelation und Bedrohungsintelligenz aus. Sie können Protokolle über verschiedene vertikale Bereiche Ihrer Organisation hinweg untersuchen und die Möglichkeit eines Vorfalls basierend auf Permutationen und Kombinationen bestimmter Aktivitäten vorhersagen.

Stellen Sie sicher, dass Sie alles dokumentieren: Warnungen, Indikatoren, Aktionen und den im Plan durchgeführten Incident-Response-Prozess. Es dient als hervorragende Ressource für den Wissensaustausch. Jetzt, da Sie die bösartigen Aktivitäten und Ereignisse identifiziert haben, besteht der nächste Schritt darin, die Vorfälle, mit denen Sie es zu tun haben, zu priorisieren.

Sie können Ihre Reaktion auf Vorfälle basierend auf den Anforderungen Ihrer Organisation priorisieren. Jedes Unternehmen hat unterschiedliche Prioritäten, und sie würden erwarten, dass Ihre Reaktionsstrategie mit diesen übereinstimmt. Einige können basierend auf funktionalen Auswirkungen (Auswirkungen auf den normalen Betrieb), informationellen Auswirkungen (Auswirkungen auf die Verfügbarkeit und Integrität von Daten innerhalb der IT-Systeme) oder Wiederherstellungsaufwand (der Aufwand, der erforderlich wäre, um sich von dem Ereignis zu erholen) priorisieren.

Wenn Sie die Incident-Response priorisiert haben, ist die letzte Überlegung in der Erkennungs- und Analysephase, Menschen zu benachrichtigen und das Verfahren dazu. Das Verfahren kann keine Benachrichtigung, E-Mail oder sogar einen Weckruf um 3 Uhr morgens umfassen, basierend auf der Schwere des Vorfalls. Planen Sie auch, wen Sie im Voraus benachrichtigen würden, damit Sie Ihr Team effektiv mobilisieren können.

3. Eindämmung, Beseitigung und Wiederherstellung

Jetzt haben Sie die Vorfälle identifiziert und priorisiert. Der nächste Schritt besteht darin, den Vorfall einzudämmen und weiteren Schaden zu verhindern.

Die Wahl der Eindämmungsstrategie hängt weitgehend von der Art des Vorfalls, dem Ausblick der Organisation und dem potenziellen Schaden ab, den er verursachen kann. Isolation kann in bestimmten Fällen eine gute Lösung sein, aber wahrscheinlich nicht die beste für andere. Zum Beispiel, wenn Ihr System mit Malware infiziert ist, würden Sie geneigt sein, es herunterzufahren oder vom Netzwerk zu trennen. Aber wenn die Arbeitsstation als Domänencontroller, E-Mail-Server oder Webserver dient, würde das Herunterfahren mehr Schaden als Nutzen anrichten, da Sie sich selbst eine Dienstverweigerung einladen würden.

Ebenso gibt es Zeiten, in denen Malware programmiert ist, um mit Isolation umzugehen. Wenn der Trojaner erkennt, dass Ihr System heruntergefahren wird, kann er Ihre Daten verschlüsseln und sogar löschen. In solchen Situationen gehen die Responder mit der Minderungstrategie vor.

Wie oben erwähnt, verschafft Ihnen die Minderungstrategie Zeit, um die Beseitigung durchzuführen und Ressourcen zuzuweisen. Dazu können Sie das kompromittierte Asset logisch in der demilitarisierten Zone (auch als DMZ-Netzwerk bezeichnet) isolieren, die Ihr Netzwerk vom kompromittierten Asset trennt und es hinter einer Firewall sicher hält.

Während Sie mit der Minderungstrategie voranschreiten, sollten Sie eine Risikobewertung durchführen und die kontinuierlichen Schäden berücksichtigen, die die Infektion auf den kompromittierten Assets verursachen wird, bevor Sie sie beseitigen. Andererseits können Sie mit Sandboxing die Aktivitäten des Angreifers auf eine Arbeitsstation umleiten, die zur Sammlung von Beweisen verwendet werden kann. Stellen Sie sicher, dass Sie keine Gesetze brechen, da diese von Ort zu Ort variieren.

Erwägen Sie, Beweise für den Vorfall zu sammeln, die Antworten auf was, warum, wo, wann und wie geben. Es ist auch ratsam, eine ordnungsgemäße Beweiskette zu führen, die angibt, wer die Beweise gesammelt, kontrolliert und gesichert hat. Dies wäre hilfreich, wenn die Strafverfolgung eingeschaltet wird.

Als nächstes können Sie zur Beseitigung und Wiederherstellung übergehen. Die Strategie der Beseitigung hängt von der Quelle des Vorfalls ab. Stellen Sie sicher, dass Sie alle mit den Vorfällen verbundenen Details haben, da sie immens wichtig sind. Zielen Sie darauf ab, die Sicherheit zu verbessern, da Sie nicht möchten, dass sich der Vorfall wiederholt und Ihr Sicherheitsframework erneut in Frage stellt.

Sie können eine Ursachenanalyse durchführen, die Hauptursache identifizieren, die zum Vorfall geführt hat, und sie korrigieren, bevor sie mehr Ärger anzieht.

4. Nach-Incident-Aktivität

Nachdem das Incident-Response-Team den Vorfall beseitigt hat und mit den Systemadministratoren an der Wiederherstellung arbeitet, treten sie in die letzte Phase ein. Es ist die Nach-Incident-Aktivität, die mit den gewonnenen Erkenntnissen beginnt. Die gewonnenen Erkenntnisse sind eine formale Methode zur Dokumentation der Erfahrung bei der Handhabung des Vorfalls, was Sie anders hätten tun können und welche Prozesse Sie intern verbessern müssen, um einen nachfolgenden Vorfall zu vermeiden.

Die Nach-Incident-Aktivität umfasst auch die Verfolgung von Metriken wie den Indikatoren, die die maximale Anzahl von Sicherheitsereignissen verursachen. Zum Beispiel, wenn es eine Reihe von Vorfällen gibt, die durch den Missbrauch von autorisiertem Zugriff verursacht werden. In diesem Fall ist dies ein Zeichen für eine Insider-Bedrohung und die dringende Notwendigkeit, ein Intrusion-Detection- und Protection-System (IDPS) einzuführen.

Sie sollten auch die Zeit zur Wiederherstellung von einem Vorfall, die Einleitung des Reaktionsplans und die Zeit zur Information des oberen Managements und zur Verwaltung von Eskalationen verfolgen, damit Sie Ihren Prozess besser optimieren können. Messen Sie die mit dem Vorfall verbundenen Kosten, wie die pro Stunde gezahlte Vergütung an Sicherheitsexperten, die den Vorfall bearbeiten, den Umsatzverlust in der Ausfallzeit, die Kosten für zusätzliche Software, die während des Vorfalls installiert wurde, und auch die Gesamtkosten, die alle mit dem Vorfall verbundenen Ausgaben umfassen.

Sie können diese Metriken objektiv messen, und zusätzlich zu diesen können Sie auch subjektive Aspekte des Vorfalls bewerten, wie die Effektivität Ihres Kommunikationsplans. Die Metriken helfen Ihnen, die Problemfelder in Ihrem Incident-Response-Plan zu erkennen und die Prozesse zu verbessern, um bessere Reaktionen zu liefern.
Die Nach-Incident-Aktivität umfasst auch die Aufbewahrung der Beweise eines Vorfalls. Sie können unterschiedliche Anforderungen an die Beweisaufbewahrung haben, je nachdem, wie Ihre Organisation das Ereignis handhabt.

Investieren Sie in eine Incident-Response-Strategie

Die Vorteile einer Incident-Response-Strategie überwiegen die damit verbundenen Kosten, insbesondere im Vergleich zu den finanziellen Verlusten, die sich bei einem Cyberangriff auf Ihre Organisation anhäufen. Mit einem ordnungsgemäßen Incident-Response-Plan können Sie einen Angriff erkennen, eindämmen, beseitigen und sich davon erholen, ohne sich in einer Welt der Verwirrung zu befinden.

Erfahren Sie mehr über Cyberangriffe und wie Sie sie handhaben können, um Ihren Ruf zu schützen und sich vor weiteren Schäden zu bewahren.