Incident Response ist die geordnete Reaktion eines Teams auf einen Sicherheitsvorfall von der Eindämmung bis zur Wiederherstellung.
Sie ist ein besetzter Ablauf mit Rollen und Übergaben und weder ein einzelnes Werkzeug noch die Liste der Spuren, die die Untersuchung zufällig findet.
So funktioniert es
Ein brauchbarer Plan nennt, wer ein System isolieren darf, wer mit Kunden spricht und wer Notizen führt, die eine Woche später noch verständlich sind.
Eindämmung kommt vor einer langen Suche, damit die angreifende Seite denselben Zugang nicht weiter nutzt, während das Team eine perfekte Zeitlinie schreibt.
Die Wiederherstellung umfasst saubere Systeme, das Wechseln von Geheimnissen, die offengelegt worden sein können, und eine Notiz, was sich ändert, damit derselbe Weg beim nächsten Mal schwerer ist.
Die Arbeit endet mit einer Nachbetrachtung, die den Plan verbessert, und das ist etwas anderes, als das Ticket nur zu schließen und zu hoffen, dass der Lärm aufhört.
Konkrete Beispiele
- Ein Hosting Team trennt einen Webserver vom internen Netz, nachdem Erpressungsnotizen erscheinen, und stellt danach aus einer Sicherung wieder her, die vor der Verschlüsselung liegt.
- Eine Bank sperrt eine Gruppe entfernter Mitarbeiteranmeldungen, setzt diese Zugangsdaten zurück und geht erst danach die Protokolle durch, um zu sehen, welche Akten geöffnet wurden.
- Nachdem ein Postfach für betrügerische Rechnungen genutzt wurde, informiert die Einsatzleitung die Finanzabteilung, sichert das Postfach und sperrt die Weiterleitungsregel, die hinzugefügt worden war.
Schutzmaßnahmen
- Schreiben Sie die Rollen der Reaktion, bevor ein Vorfall eintritt, einschließlich der Person, die ein System vom Netz nehmen darf, und der Person, die nach außen spricht.
- Halten Sie eine Kontaktliste außerhalb des normalen Kanals bereit, damit ein kompromittiertes Mailsystem nicht Ihr einziger Weg zum Team ist.
- Sichern Sie Protokolle und Abbilder, die die Untersuchung braucht, und hindern Sie Aufräumjobs daran, sie zu löschen.
- Halten Sie nach jedem schweren Vorfall eine kurze Nachbetrachtung und vergeben Sie die Änderungen, solange die Einzelheiten frisch sind.