Planung der Reaktion auf Vorfälle: Eine Checkliste für die Erstellung eines Reaktionsplans für Cybersicherheitsvorfälle

Ist Ihr Unternehmen darauf vorbereitet, auf eine Sicherheitsverletzung oder einen Cyberangriff zu reagieren? Nach Ansicht vieler Sicherheitsexperten ist es eine Frage des "Wann" und nicht des "Ob", ob Ihr Unternehmen von einem schwerwiegenden Cyber-Sicherheitsvorfall betroffen sein wird.

Ein Plan für die Reaktion auf Sicherheitsvorfälle ist Ihre beste Chance, Ihr Unternehmen vor den Folgen einer Datenpanne zu schützen. Die Zeit für die Planung und Vorbereitung Ihrer Reaktion auf Sicherheitsvorfälle - was auch immer sie sein mögen - ist JETZT, lange bevor sie überhaupt passieren.

Was ist ein Plan zur Reaktion auf Sicherheitsvorfälle und warum brauchen Sie einen?

Ein Plan zur Reaktion auf Cybersecurity-Vorfälle (oder IR-Plan) ist eine Reihe von Anweisungen, die Unternehmen dabei helfen sollen, sich auf Sicherheitsvorfälle im Netzwerk vorzubereiten, diese zu erkennen, darauf zu reagieren und sich davon zu erholen. Die meisten IR-Pläne sind technologieorientiert und befassen sich mit Themen wie Malware-Erkennung, Datendiebstahl und Service-Ausfällen. Allerdings kann ein bedeutender Cyberangriff ein Unternehmen funktionsübergreifend auf vielfältige Weise beeinträchtigen, so dass der Plan auch Bereiche wie Personalwesen, Finanzen, Kundendienst, Mitarbeiterkommunikation, Rechtsabteilung, Versicherungen, Öffentlichkeitsarbeit, Aufsichtsbehörden, Zulieferer, Partner, lokale Behörden und andere externe Stellen einbeziehen sollte.

Es gibt branchenübliche Rahmenwerke für die Reaktion auf Sicherheitsvorfälle von Organisationen wie NIST und SANS, die allgemeine Leitlinien für den Umgang mit einem aktuellen Vorfall enthalten. Der IR-Plan Ihres Unternehmens sollte jedoch wesentlich konkreter und umsetzbarer sein – er sollte detailliert festlegen, wer wann welche Aufgaben übernehmen soll. Wir haben eine Checkliste zusammengestellt, die die wichtigsten Bestandteile eines Cyber-IR-Plans umreißt, um Ihnen dabei zu helfen, den richtigen Leitfaden für Ihr Unternehmen zu erstellen.

In jedem Fall - ob Sie nun eine Vorlage für einen Vorfallsreaktionsplan oder Ihren eigenen IR-Plan verwenden - bleiben die Ziele die gleichen: Schaden minimieren, Ihre Daten schützen und Ihrem Unternehmen helfen, sich so schnell wie möglich von dem Vorfall zu erholen.

So fangen Sie an: Erstellen eines Vorfallsreaktionsplans

Jedes Unternehmen, das über digitale Ressourcen (Computer, Server, Cloud-Workloads, Daten usw.) verfügt, ist potenziell von Cyberangriffen oder Datenlecks betroffen. Leider bemerken die meisten Unternehmen erst dann, dass ein Datenleck aufgetreten ist, wenn es bereits zu spät ist. Die Erstellung eines Plans zur Reaktion auf Cybersicherheitsvorfälle hilft Ihnen, sich auf das Unvermeidliche vorzubereiten und Ihr IT-Sicherheitsteam so auszustatten, dass es vor, während und nach einem Cyberangriff reagieren kann. Dieser Blogbeitrag geht zwar nicht so tief und detailliert auf die Thematik ein, wie es für einen echten Plan zur Reaktion auf Sicherheitsvorfälle erforderlich wäre, hilft Ihnen jedoch dabei, die wichtigsten Faktoren und Überlegungen in jeder Phase des Reaktionsprozesses zu verstehen: Vorbereitung, Erkennung, Reaktion, Wiederherstellung und Nachbereitung nach dem Vorfall.

Im Idealfall sollte Ihr Plan für die Reaktion auf Sicherheitsvorfälle fortlaufend genutzt werden - ein lebendiges Dokument, das wiederkehrende Erkennungs- und Reaktionsaktivitäten (Suche nach Bedrohungen, Untersuchung von Cybervorfällen, Reaktion auf Vorfälle und Behebung/Wiederherstellung) vorantreibt. Durch fortlaufende Erkennungs- und Reaktionsaktivitäten können Sie die IT- und Sicherheitshygiene verbessern und Ihr Unternehmen besser vor unbekannten Bedrohungen und versteckten Angreifern schützen und möglicherweise eine Datenverletzung verhindern.

Für die Zwecke dieses Blogs haben wir den Planungsprozess für die Reaktion auf einen Vorfall in fünf Phasen unterteilt: Vorbereitung, Erkennung, Reaktion, Wiederherstellung und Nachbereitung.

Vorbereitung

Die Vorbereitung ist die erste Phase der Incident-Response-Planung und wohl auch die wichtigste für den Schutz Ihres Unternehmens und Ihrer digitalen Ressourcen. Während der Vorbereitungsphase dokumentieren, skizzieren und erklären Sie die Rollen und Verantwortlichkeiten Ihres IR-Teams, einschließlich der Festlegung der zugrunde liegenden Sicherheitsrichtlinien, die die Entwicklung Ihres IR-Plans leiten werden.

• Bestimmen Sie den genauen Speicherort, die Sensibilität und den relativen Wert aller Informationen in Ihrem Unternehmen, die geschützt werden müssen.

• Prüfen Sie, ob Sie derzeit über ausreichende IT-Ressourcen verfügen, um auf einen Angriff zu reagieren, oder ob Unterstützung durch Dritte erforderlich ist.

• Holen Sie die Zustimmung der Geschäftsleitung ein, damit der Plan von der Unternehmensspitze vollständig genehmigt wird.

• Zuweisung von Rollen und Zuständigkeiten für alle relevanten Interessengruppen, einschließlich IT, HR, interne Kommunikation, Kundensupport, Rechtsabteilung, PR und Berater.

• Erstellen Sie eine Befehlskette, die sowohl IT- als auch Unternehmensleiter umfasst. Wer ist der Vorfallkommandant? Wer führt den Notfallplan ein? Wer hat die Befugnis, die Arbeit einzustellen, z. B. die Unternehmenswebseiten im Notfall abzuschalten?

• Abbildung des Arbeitsablaufs für die Reaktion auf Vorfälle unter den verschiedenen Beteiligten. Wann ist die Personalabteilung beteiligt? Wann wird die Rechtsabteilung eingeschaltet? Wann werden die Medien alarmiert? Wann werden externe Behörden eingeschaltet?

• Sammeln und aktualisieren Sie die Kontaktdaten (E-Mail, SMS, VOIP usw.) von 24/7/365 für alle Mitglieder des Notfallteams, ihre Stellvertreter und Manager. Richten Sie alternative Kommunikationskanäle ein, falls die regulären Kanäle gefährdet oder nicht verfügbar sind.

• Identifizieren Sie die gesetzlichen Anforderungen an die Cybersicherheit für das Unternehmen in allen Funktionen und entwickeln Sie einen Leitfaden für den Umgang mit Strafverfolgungsbehörden und anderen staatlichen Stellen im Falle eines Vorfalls.

• Erstellung und Pflege einer Liste bevorzugter Technologieanbieter für Forensik, Hardwareaustausch und damit verbundene Dienstleistungen, die vor, während oder nach einem Vorfall benötigt werden könnten.

• Richten Sie Verfahren für IT-Teams ein, damit sie klare, umsetzbare Warnungen über alle entdeckten Schadprogramme erhalten. Spezifische Erklärungen helfen den Teammitgliedern, die Warnung nicht als Fehlalarm abzutun.

• Speichern Sie privilegierte Anmeldeinformationen, einschließlich Kennwörtern und SSH-Schlüsseln, in einem sicheren, zentralisierten Tresor.

• Rotieren Sie automatisch privilegierte Anmeldeinformationen, isolieren Sie privilegierte Kontositzungen für temporäre Mitarbeiter und scannen Sie regelmäßig nach verwaisten Konten ehemaliger Mitarbeiter, die noch immer unbefugten Zugriff bieten könnten.

• Fordern Sie Ihre Mitarbeiter auf, verdächtige E-Mails und Aktivitäten zu melden, die die Netzwerksicherheit gefährden könnten.

• Vergewissern Sie sich, dass Sie ein sauberes System für die Wiederherstellung zur Verfügung haben, z. B. durch ein komplettes Re-Image eines Systems oder eine vollständige Wiederherstellung aus einem sauberen Backup.

• Erstellen Sie einen umfassenden und integrierten Kommunikationsplan, um sowohl interne als auch externe Zielgruppen schnell, präzise und einheitlich über Vorfälle zu informieren.

Erkennung und Analyse

Die Erkennungsphase der Reaktion auf Sicherheitsvorfälle und der IR-Planung umfasst die Überwachung, Erkennung, Alarmierung und Berichterstattung über Sicherheitsereignisse. Dazu gehört die Identifizierung bekannter, unbekannter und verdächtiger Bedrohungen - also solcher, die bösartig zu sein scheinen, für die aber zum Zeitpunkt der Entdeckung noch nicht genügend Daten zur Verfügung stehen, um eine Entscheidung zu treffen.

Wenn eine Spur, eine Bedrohung oder ein Sicherheitsvorfall entdeckt wird, sollte Ihr Incident-Response-Team sofort (wenn nicht sogar automatisch mit Hilfe von Software für die Reaktion auf Cybervorfälle) zusätzliche Informationen - forensische Beweise, Artefakte und Codeproben - sammeln und dokumentieren, um den Schweregrad, die Art und die Gefahr des Vorfalls zu bestimmen und diese Daten zu speichern, damit sie zu einem späteren Zeitpunkt für die Verfolgung der Angreifer verwendet werden können.

• Entwickeln Sie eine proaktive Erkennungsstrategie auf der Grundlage von Tools, die Ihre physischen und virtuellen Hosts, Systeme und Server automatisch nach anfälligen Anwendungen, Identitäten oder Konten durchsuchen können.

• Erwägen Sie herkömmliche Lösungen wie Endpoint Detection & Response (EDR)-Plattformen, Next-Gen Antivirus (NGAV)-Software oder User/Entity Behavior Analytics (UEBA/UBA)-Tools zur Erkennung von Malware.

• Ziehen Sie auch tiefgreifende Analyse- und Forensikfunktionen in Betracht, die den Zustand eines Endpunkts beurteilen können, indem sie überprüfen, was zu einem bestimmten Zeitpunkt im Speicher ausgeführt wird.

• Führen Sie Gefährdungsbeurteilungen durch, um festzustellen, ob in ein Netzwerk eingedrungen wurde, und identifizieren Sie schnell das Vorhandensein von bekannter oder Zero-Day-Malware und anhaltenden Bedrohungen - aktiv oder inaktiv -, die Ihre bestehenden Cybersicherheitsmechanismen umgangen haben.

Antwort

Die Reaktion auf Sicherheitsvorfälle kann verschiedene Formen annehmen. Zu den Maßnahmen zur Reaktion auf einen Vorfall kann die Einstufung von Warnmeldungen Ihrer Endpunkt-Sicherheitstools gehören, um festzustellen, welche Bedrohungen real sind und/oder mit welcher Priorität Sicherheitsvorfälle zu behandeln sind. Zu den Maßnahmen zur Reaktion auf einen Vorfall kann auch die Eindämmung und Neutralisierung der Bedrohung(en) gehören, d. h. das Isolieren, Abschalten oder anderweitige "Trennen" infizierter Systeme von Ihrem Netzwerk, um die Ausbreitung des Cyberangriffs zu verhindern. Darüber hinaus umfassen die Maßnahmen zur Reaktion auf Vorfälle die Beseitigung der Bedrohung (bösartige Dateien, versteckte Hintertüren und Artefakte), die zu dem Sicherheitsvorfall geführt hat.

• Systeme, Netzwerke, Datenspeicher und Geräte sind unverzüglich einzudämmen, um das Ausmaß des Vorfalls zu minimieren und zu verhindern, dass er weitreichende Schäden verursacht.

• Stellen Sie fest, ob sensible Daten gestohlen oder beschädigt wurden, und wenn ja, wie hoch das Risiko für Ihr Unternehmen sein könnte.

• Beseitigen Sie infizierte Dateien und ersetzen Sie gegebenenfalls die Hardware.

• Führen Sie ein umfassendes Protokoll über den Vorfall und die Maßnahmen, einschließlich Uhrzeit, Daten, Ort und Ausmaß des durch den Angriff entstandenen Schadens. Handelte es sich um einen internen oder externen Vorfall, um eine Systemwarnung oder um eine der zuvor beschriebenen Methoden? Wer hat den Vorfall entdeckt und wie wurde er gemeldet? Listen Sie alle Stellen und Zeitpunkte auf, über die der Vorfall weitergeleitet wurde. In welcher Phase wurde das Sicherheitsteam eingeschaltet?

• Bewahren Sie alle Artefakte und Details des Einbruchs auf, um den Ursprung, die Auswirkungen und die Absichten weiter zu analysieren.

• Bereiten Sie so bald wie möglich öffentliche Erklärungen vor, in denen Sie die Art der Sicherheitsverletzung, die Ursachen, das Ausmaß des Angriffs, die Schritte zur Behebung des Problems und einen Überblick über künftige Updates so genau wie möglich beschreiben.

• Aktualisieren Sie alle Firewalls und die Netzwerksicherheit, um Beweise zu sichern, die später für forensische Untersuchungen verwendet werden können.

• Schalten Sie das Rechtsteam ein und untersuchen Sie die Einhaltung von Vorschriften und Risiken, um festzustellen, ob der Vorfall Auswirkungen auf Vorschriften hat.

• Kontaktieren Sie gegebenenfalls die Strafverfolgungsbehörden, da der Vorfall auch andere Organisationen betreffen kann. Zusätzliche Informationen über den Vorfall können bei der Ausmerzung, der Identifizierung des Umfangs oder bei der Zuordnung helfen.

Wiederherstellung und Nachverfolgung

Zu den Aktivitäten nach dem Vorfall (Wiederherstellungs- und Folgemaßnahmen) gehören die Beseitigung des Sicherheitsrisikos, die Überprüfung und Berichterstattung über die Geschehnisse, die Aktualisierung Ihrer Bedrohungsdaten mit neuen Informationen darüber, was gut und was schlecht ist, die Aktualisierung Ihres IR-Plans mit den aus dem Sicherheitsvorfall gewonnenen Erkenntnissen und die Bestätigung und erneute Bestätigung, dass Ihre Umgebung tatsächlich frei von Bedrohungen ist, und zwar durch eine Bewertung der Gefährdung der Cybersicherheit nach dem Vorfall oder eine Sicherheits- und IT-Risikobewertung.

Wiederherstellung

• Beseitigen Sie das Sicherheitsrisiko, um sicherzustellen, dass der Angreifer keinen erneuten Zugriff erhält. Dazu gehören das Patchen von Systemen, das Sperren des Netzwerkzugangs und das Zurücksetzen von Kennwörtern kompromittierter Konten.

• Erstellen Sie während des Ausrottungsschritts eine Ursachenermittlung, um den verwendeten Angriffspfad zu ermitteln, damit die Sicherheitskontrollen verbessert werden können, um ähnliche Angriffe in Zukunft zu verhindern.

• Führen Sie eine unternehmensweite Schwachstellenanalyse durch, um festzustellen, ob weitere Schwachstellen vorhanden sind.

• Wiederherstellung der Systeme in den Zustand vor dem Vorfall. Prüfen Sie auf Datenverluste und stellen Sie sicher, dass die Systemintegrität, -verfügbarkeit und -vertraulichkeit wiederhergestellt ist und das Unternehmen wieder normal arbeiten kann.

• Sammeln Sie weiterhin Protokolle, Speicherabzüge, Audits, Netzwerkverkehrsstatistiken und Festplattenabbilder. Ohne eine ordnungsgemäße Beweissammlung ist die digitale Forensik eingeschränkt, so dass keine Folgeuntersuchung durchgeführt werden kann.

Weiterverfolgung

• Erstellen Sie einen Bericht über die Reaktion auf den Vorfall, der alle vom Vorfall betroffenen Unternehmensbereiche umfasst.

• Ermitteln Sie, ob die Geschäftsleitung mit der Reaktion zufrieden war und ob das Unternehmen weiter in Mitarbeiter, Schulungen oder Technologien investieren muss, um seine Sicherheitslage zu verbessern.

• Teilen Sie Ihre Erfahrungen mit. Was ist gut gelaufen, was nicht und wie können die Verfahren in Zukunft verbessert werden?

• Überprüfen, testen und aktualisieren Sie den Plan für die Reaktion auf Cybersecurity-Vorfälle regelmäßig, wenn möglich jährlich.

• Führen Sie regelmäßig eine Kompromissbewertung oder andere Sicherheitsscans durch, um den Zustand von Systemen, Netzwerken und Geräten zu gewährleisten.

• Aktualisierung von Notfallplänen nach einer Abteilungsumstrukturierung oder einem anderen größeren Übergang.

• Informieren Sie alle Beteiligten über die neuesten Trends und neue Arten von Datenschutzverletzungen, die sich ereignen. Vermitteln Sie die Botschaft, dass "Sicherheit die Aufgabe eines jeden ist".

Schlussfolgerung

Das Ziel unserer Checkliste für den Reaktionsplan auf Cybervorfälle ist es, Ihr IT-Sicherheitsteam bei der Entwicklung eines umfassenden, koordinierten, wiederholbaren und effektiven Reaktionsplans auf Vorfälle zu unterstützen.

Bitte denken Sie daran, dass die Entwicklung eines IR-Plans für die Cybersicherheit niemals eine einmalige Übung ist. Ohne regelmäßiges Incident-Response-Training und IR-Übungen, einschließlich Live-Cyber-Angriffsszenarien, können Unternehmen und ihre IT-Sicherheitsteams leider plötzlich von Hackern ausmanövriert werden, die ihre Angriffsstrategien/TTPs und die Wahl ihrer Malware ändern.

Was in der Vergangenheit funktioniert hat, funktioniert morgen vielleicht nicht mehr. Der richtige Plan für die Reaktion auf Sicherheitsvorfälle sollte ein lebendiges Dokument sein, das mit der sich schnell entwickelnden Bedrohungslandschaft von heute Schritt hält. 

CKontaktieren Sie uns , um eine Beratung oder eine Kompromittierungsanalyse anzufordern oder um zu erfahren, wie Datto eine schnelle, flexible und kostengünstige Erkennung von Bedrohungen und Reaktion auf Vorfälle ermöglicht.