Was sind Kompromittierungsindikatoren während der Untersuchung eines Einbruchs?
Kompromittierungsindikatoren sind beobachtbare Spuren, etwa ein Dateihash oder eine auffällige Domain, die auf einen Einbruch hindeuten.
Sie sind Hinweise für eine Suche oder einen Detektor und nicht der Reaktionsplan, der entscheidet, wer die Maschine isoliert.
So funktioniert es
Ein Hash, ein Mutex Name, ein Registrierungsschlüssel, eine Quelladresse oder eine Domain, die nur bei einem bekannten Einbruch vorkommt, können als Indikatoren dienen, wenn sie spezifisch genug sind.
Ein zu breiter Hinweis, etwa eine weit verbreitete Cloud Adresse, erzeugt Rauschen und kann dazu führen, dass Analytiker die Liste ignorieren.
Indikatoren altern schnell, weil Angreifende ihre Infrastruktur wechseln, deshalb kann eine Liste vom letzten Jahr eine Kampagne beschreiben, die nicht mehr gleich aussieht.
Sie zu teilen hilft anderen Teams beim Suchen, doch jedes Team muss den Kontext beurteilen, bevor ein Treffer als Beweis für eine Kompromittierung gilt.
Konkrete Beispiele
- Ein Dateihash aus einem bestätigten Fall wird auf Laptops gesucht und findet dieselbe Datei auf zwei Rechnern, die eine Abteilungsfreigabe teilen.
- Eine Domain aus einer Betrugsmail wird am Resolver gesperrt, nachdem Analytiker bestätigt haben, dass kein Geschäftspartner sie nutzt.
- Ein Aufgabenname aus einem Vorfall wird in Endpunktalarme aufgenommen, damit eine Wiederholung genau dieser Aufgabe am selben Tag auffällt.
Schutzmaßnahmen
- Halten Sie fest, woher jeder Indikator stammt, wie spezifisch er ist und ab welchem Datum er geprüft oder ausgemustert werden soll.
- Bevorzugen Sie genaue Spuren gegenüber sehr häufigen Adressen, die die Hälfte des normalen Geschäftsverkehrs treffen würden.
- Suchen Sie neue Indikatoren in Protokollen, die Sie bereits führen, bevor Sie annehmen, die Umgebung sei sauber.
- Behandeln Sie einen Treffer als Spur, die noch Kontext braucht, und nicht als automatisches Urteil, ein System sei verloren.
Verwandte Artikel
Der besetzte Ablauf, der solche Spuren zur Eindämmung und Wiederherstellung nutzt, wird in Was ist die Reaktion auf einen bestätigten Sicherheitsvorfall im Betrieb? beschrieben.
Das Alarmieren bei verdächtiger Aktivität ohne Sperre ist das Thema von Was ist ein Intrusion Detection System, das alarmiert, ohne selbst zu sperren?.
Ein Detektor, der Verkehr im Netz liest und nicht nur auf einem Host, wird in Was ist ein netzwerkbasiertes Erkennungssystem für Pakete auf der Leitung? behandelt.