Ein praktischer Leitfaden zum Aufbau eines Cyber Incident Response Teams

Zwar gibt es eine Reihe von Lösungen für das Bedrohungs- und Risikomanagement, die Ihrem Team durch automatisierte Reaktionen dabei helfen, Sicherheitsvorfälle geringeren Ausmaßes zu bewältigen, doch erfordern Bedrohungen höherer Schwere (ausgeklügelte und heimliche Angriffe), darunter auch Advanced Persistent Threats (APTs), ein Team zur Reaktion auf Cybervorfälle – das entsprechend ausgerüstet und bereit ist, schnell zu handeln.

Diese Mannschaft könnte wie folgt aussehen:

• Ein festes Team innerhalb eines Security Operations Center (SOC)
• Eine, die sich aus den wichtigsten Akteuren im IT- und Sicherheitsbereich eines kleinen bis mittelgroßen Unternehmens zusammensetzt
• Ein externes Team, das bei Bedarf kurzfristig zur Stelle ist

Unabhängig davon, woher das Team stammt, muss Ihr Plan zur Reaktion auf Sicherheitsvorfälle Ihr Incident-Response-Team sowie dessen Rollen und Zuständigkeiten festlegen. Ein detaillierter Plan zur Reaktion auf Sicherheitsvorfälle, der klar definierte Rollen innerhalb Ihres Teams enthält, kann Ihnen im Falle eines Sicherheitsvorfalls so manche Kopfschmerzen ersparen (ganz zu schweigen von Millionen von Dollar, Datenverlusten und einem PR-Desaster). Dieser Beitrag behandelt die Grundlagen der Reaktion auf Cybersicherheitsvorfälle und erklärt, wie Sie ein Incident-Response-Team aufbauen.

Was ist ein Plan zur Reaktion auf Cybervorfälle?

Der Begriff „Cyber-Incident-Response“ bezeichnet einen strukturierten Ansatz zur Bewältigung (Reaktion auf) von Cybersicherheitsvorfällen. Die Incident Response (IR) sollte so durchgeführt werden, dass Schäden gemindert, die Wiederherstellungszeit verkürzt und die Kosten minimiert werden. Die Anweisungen, anhand derer eine Organisation ihr Incident-Response-Team bei einem Sicherheitsvorfall (d. h. einer Sicherheitsverletzung) anleitet, sind im Incident-Response-Plan festgehalten.

Ein dokumentierter IR-Plan hilft Organisationen dabei, schnell zu reagieren, indem er Entscheidungsprozesse optimiert, Abläufe festlegt und den angemessenen Einsatz der verfügbaren Technologien definiert.

Es gibt sechs von SANS definierte Phasen der Incident-Response, die Sie einplanen sollten:

1. Vorbereitung– Vorbereitung des Sicherheitspersonals auf den Umgang mit möglichen Vorfällen. Dazu gehören Schulungen, die Bereitstellung der erforderlichen Ausrüstung und Übungen.
2. Identifizierung– Erkennen und Beurteilen, ob ein Vorfall die Voraussetzungen erfüllt, um von der Organisation als Sicherheitsvorfall eingestuft zu werden, sowie Bestimmung seines Schweregrads.
3. Eindämmung– Eindämmung des Vorfalls durch Isolierung der betroffenen Systeme, um weiteren Schaden zu verhindern.
4. Beseitigung– Ermittlung der Ursache des Vorfalls und Beseitigung der Bedrohungen aus den betroffenen Systemen.
5. Wiederherstellung– die betroffenen Systeme wieder in Betrieb nehmen und sicherstellen, dass keine Bedrohung mehr besteht.
6. Gewonnene Erkenntnisse– Analyse der Vorfallprotokolle, Aktualisierung des Reaktionsplans und Vervollständigung der Vorfalldokumentation.

Ihr IR-Plan sollte die folgenden Abschnitte enthalten:

• Planübersicht
• Aufgaben und Zuständigkeiten
• Liste der Vorfälle, die Maßnahmen erfordern
• Überblick über die Sicherheitslage und die Netzwerkinfrastruktur
• Verfahren zur Erkennung, Untersuchung und Eindämmung
• Plan zur Ausrottung und entsprechende Kapazitäten
• Wiederherstellungsplan (Wie lange dauert die Wiederherstellung aus Backups?)
• Verfahren zur Meldung von Datenschutzverletzungen
• Eine aktualisierte Anrufliste
• Folgeaufgaben

Der Plan sollte in den folgenden Bereichen detailliert auf die Einzelheiten eingehen:

• Angaben zum Incident-Response-Team
  Das Incident-Response-Team setzt sich aus Mitarbeitern und/oder externen Mitgliedern zusammen. Es ist von entscheidender Bedeutung, dass alle Mitglieder des Incident-Response-Teams im IR-Plan detailliert aufgeführt werden, einschließlich ihrer Rollen und Verantwortlichkeiten im Falle eines Vorfalls sowie der diesbezüglich absolvierten Schulungen. Besonders wichtig ist es, die Rollen der Incident-Handler von den Verantwortlichkeiten der Ressourcenmanager zu trennen.
• System- und Netzwerkinformationen
  Dazu gehören Netzwerk- und Datenflussdiagramme sowie die Hardware-Bestandsliste. Es ist wichtig zu wissen, wie sich ein Angreifer von einem konkret kompromittierten Host oder System aus potenziell durch Ihr Netzwerk bewegen könnte.
• Verfahren zur Bearbeitung und Meldung von Vorfällen
  Dieser Abschnitt sollte eine Vorlage für die Erstellung eines Vorfallberichts enthalten, der eine detaillierte Beschreibung des Vorfalls und der betroffenen Dateien enthält.
• Erfahrungs
  Nach einem Vorfall sollten zwei Fragen gestellt werden: Wie lässt sich verhindern, dass sich ähnliche Vorfälle wiederholen, und was könnte am Notfallplan verbessert werden? Fragen Sie, was funktioniert hat und was nicht, wie die Mitarbeiter reagiert haben und welche Teile des Plans aktualisiert werden müssen.
• Meldung an Dritte und Behörden
  Sollte Richtlinien darüber enthalten, wann und wie Meldungen an Behörden, Dritte, Lieferanten und Nutzer zu erfolgen haben. Die meisten Vorfallmeldungen unterliegen gesetzlichen Vorschriften.

So bauen Sie ein effektives Team für die Reaktion auf Cybervorfälle auf

Wer ist wer in einem Plan zur Reaktion auf Vorfälle?

Dies sind die Kernaufgaben eines IR-Teams mit den dazugehörigen grundlegenden Zuständigkeiten. Allerdings ist nichts in Stein gemeißelt, sodass die tatsächlichen Zuständigkeiten von Organisation zu Organisation stark variieren.

• Teamleiter– koordiniert alle Aktivitäten des Incident-Response-Teams.
• Kommunikation– steuert die Kommunikation innerhalb der Organisation sowie mit Dritten. Sollte im Bereich Öffentlichkeitsarbeit geschult werden oder Unterstützung durch diesen Bereich erhalten.
• Leitender Ermittler– sammelt und analysiert technische Beweise, ermittelt die Ursache des Angriffs und leitet andere Analysten sowie IT-Abteilungen bei der Wiederherstellung von Systemen und Diensten an.
• Analysten/Forscher– unterstützen den Ermittler, indem sie Bedrohungsinformationen und Hintergrundinformationen zu einem Vorfall bereitstellen. Cyberforensiker können erforderlich sein, um kompromittierte Systeme eingehend zu untersuchen.
• Rechtsbeistand– Es ist unerlässlich, sich in Personal- und Rechtsfragen beraten zu lassen, um möglichen strafrechtlichen Vorwürfen im Zusammenhang mit dem Vorfall zu begegnen.

Ein Team kann sich aus internen Mitarbeitern sowie aus teilweise oder vollständig externen Mitarbeitern zusammensetzen, die je nach Bedarf hinzugezogen werden. Drittanbieter können beispielsweise Experten zur Verfügung stellen, die eingehendere forensische Untersuchungen durchführen oder bei der Kommunikation mit der Öffentlichkeit bzw. den Kunden helfen.

Wo sollte das Team seinen Standort haben?

CSIRT-Mitglieder sind häufig geografisch verteilt, um eine möglichst umfassende Abdeckung verschiedener Zeitzonen zu gewährleisten. So wird sichergestellt, dass zu jeder Tageszeit jemand im Dienst und erreichbar ist. Redundanz ist unerlässlich, weshalb für den Fall, dass Teammitglieder nicht verfügbar sind, Stellvertreter benannt werden. Kleine Organisationen profitieren in der Regel davon, die Aufgaben der Incident-Response-Reaktion auszulagern, um den Dienst außerhalb der regulären Arbeitszeiten oder an Feiertagen abzudecken; hierfür sind jedoch meist Rahmenverträge erforderlich, um die Reaktionszeiten zu garantieren.

Welche Rolle spielt die Automatisierung bei der Reaktion auf Cybersicherheitsvorfälle?

Angesichts des Mangels an erfahrenen Fachkräften für diese Aufgaben steht die Automatisierung ganz oben auf der Liste der Initiativen im Bereich Security Operations, insbesondere im Hinblick auf den neuen DevSecOps-Ansatz, der in der Cloud-Branche Einzug hält. Die Automatisierung spielt eine entscheidende Rolle dabei, diesen Teams zu ermöglichen, weiterhin sichere und qualitativ hochwertige Arbeit zu leisten, ohne dabei Abstriche bei der Qualität zu machen. Die neuesten Trends im Bereich der automatisierten Incident-Response werden mithilfe von Playbooks umgesetzt – das sind codefreie Workflows, die viele der sich wiederholenden Aufgaben nach ihrer Auslösung automatisch ausführen.

In vielen Reaktionsszenarien gibt es jedoch keinen Ersatz für einen erfahrenen menschlichen Analysten, da nicht alles vollständig automatisiert werden kann. Die Reaktion auf Vorfälle kann von Fall zu Fall sehr unterschiedlich ausfallen, und oft müssen Sie Entscheidungen auf der Grundlage begrenzter Informationen treffen.

Nachbereitung

Ein effektives CIRST kann dazu beitragen, schnell auf Sicherheitsvorfälle zu reagieren und so den Schaden für das Unternehmen zu begrenzen. Daher ist die Definition und der Aufbau Ihres CIRST ein wichtiger Schritt, der nicht auf die leichte Schulter genommen werden darf.

Je nach Größe und Anforderungen Ihres Unternehmens kann eine Kombination aus internem Personal und externen Cybersicherheitsexperten eine Option sein. Andere Unternehmen lagern ihre Managed Security Services an einen MDR-Anbieter aus, was ihnen rund um die Uhr Sicherheit bietet und es ihrem IT-Team ermöglicht, sich auf andere Aufgaben zu konzentrieren.

Ganz gleich, wie Sie Ihr IR-Team zusammenstellen – Sie kennen nun die wichtigsten Rollen und Zuständigkeiten, die darin abgedeckt sein sollten, sowie einige bewährte Vorgehensweisen zur Entwicklung einer soliden Richtlinie für die Reaktion auf Vorfälle.