Ein Vorfallreaktionsplan legt fest, wer bei einem Sicherheitsvorfall was tut, in welcher Reihenfolge und mit welchen Mitteln.
Er verhindert, dass ein Team unter Druck erst Zuständigkeiten klären muss.
Bedeutung eines Reaktionsplans für Vorfälle
Ohne Plan dauern Erkennung, Eindämmung und Wiederherstellung länger, und Beweise gehen verloren.
Ein schriftlicher Ablauf macht aus einer Krise eine Reihe bekannter Schritte.
Einhaltung gesetzlicher Vorschriften
Viele Branchen müssen Sicherheitsvorfälle dokumentieren und Behörden oder Betroffene innerhalb fester Fristen informieren.
Der Plan benennt diese Pflichten, die zuständigen Personen und die Nachweise, die dafür aufzubewahren sind.
Bestandteile eines Reaktionsplans für Vorfälle
Ein brauchbarer Plan beschreibt Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung und die Nachbereitung.
Jeder Teil nennt Auslöser, Handlungen und das erwartete Ergebnis.
Vorbereitung
Vorbereitung umfasst Kontakte, Entscheidungswege, Werkzeuge und regelmäßige Übungen.
Wer den Ablauf nur im Ernstfall zum ersten Mal liest, verliert die ersten Stunden.
Erkennung und Analyse
Meldungen aus Überwachung, Support und Nutzern werden geprüft, bevor jemand von einem bestätigten Vorfall spricht.
Die Analyse hält fest, welche Systeme betroffen sind, wie der Zugang entstand und wie weit sich der Vorfall ausgebreitet hat.
Eindämmung, Beseitigung und Wiederherstellung
Zuerst wird die Ausbreitung gestoppt, etwa durch Trennen betroffener Systeme oder Sperren kompromittierter Konten.
Danach werden die Ursache entfernt, saubere Systeme wieder in Betrieb genommen und die Funktion geprüft.
Aktivitäten nach einem Vorfall
Nach der Wiederherstellung wertet das Team den Ablauf aus: was funktioniert hat, was zu spät kam und welche Regel oder welches System zu ändern ist.
Die Erkenntnisse fließen in den Plan und in die technische Absicherung zurück.
Team für die Reaktion auf Vorfälle
Das Team braucht feste Rollen aus Technik, Betrieb, Recht und Kommunikation.
Vertretungen sind benannt, damit ein Vorfall nicht an einer abwesenden Person hängen bleibt.
Rollen und Verantwortlichkeiten
Eine Person führt den Einsatz, andere untersuchen, stellen Systeme wieder her oder sprechen mit Kunden und Behörden.
Klare Grenzen verhindern, dass mehrere Leute dieselben Systeme anfassen und Spuren überschreiben.
Schulung und Ressourcen
Übungen mit einem realistischen Szenario zeigen Lücken, bevor ein echter Vorfall sie aufdeckt.
Das Team braucht außerdem erreichbare Ansprechpartner, aktuelle Zugänge zu Protokollen und eine ruhige Arbeitsumgebung.
Tools und Techniken für die Reaktion auf Vorfälle
Werkzeuge liefern Spuren und helfen, den Umfang zu begrenzen.
Sie ersetzen nicht die Entscheidung, welches System zuerst isoliert wird.
Netzwerküberwachungstools
Überwachung zeigt ungewöhnliche Verbindungen, Datenmengen und Ziele.
Im Vorfall lässt sich damit nachvollziehen, welche Rechner miteinander gesprochen haben.
Systeme zur Erkennung von Eindringlingen
Solche Systeme vergleichen Verkehr und Systemverhalten mit bekannten Angriffsmustern und mit Abweichungen vom Alltag.
Ein Alarm ist ein Hinweis, keine fertige Diagnose.
Protokollanalyse-Tools
Protokolle von Anmeldung, Firewall, Anwendung und System zeigen die Reihenfolge der Ereignisse.
Gute Werkzeuge filtern die Menge und halten die Zeitstempel vergleichbar.
Forensische Tools
Forensische Sicherung kopiert Datenträger und Speicher so, dass die Originale unverändert bleiben.
Erst diese Kopien werden untersucht, damit Beweise vor Gericht oder gegenüber der Versicherung Bestand haben.
Schlussfolgerung
Ein Vorfallreaktionsplan ist nur dann nützlich, wenn er geübt, aktuell und im Ernstfall auffindbar ist.
Wer Rollen, Nachweise und die Reihenfolge der Schritte vorher festlegt, begrenzt Schaden und Stillstand.