IR-Planung: Die kritischen 6 Schritte der Reaktion auf Cybersicherheitsvorfälle

Unsere Daten, Dienste und Infrastrukturen werden ständig von Ransomware, Malware und Cyber-Angreifern angegriffen - die Liste ist lang. Trotz unserer Bemühungen, diese Angriffe zu stoppen, werden die meisten Unternehmen mit den schrecklichen Folgen einer Datenverletzung konfrontiert. Sie sollten über einen aktualisierten und gut eingeübten Reaktionsplan für Cybersicherheitsvorfälle verfügen, um diese potenziellen Datenverletzungen zu bekämpfen. 

Der Prozess der Reaktion auf Vorfälle

Ihr Prozess zur Reaktion auf Cybersicherheitsvorfälle umfasst den gesamten Lebenszyklus (und die Feedback-Schleife) einer Untersuchung eines Sicherheitsvorfalls. Nach der Erkennung eines Angriffs oder einer Warnung von einem Ihrer Schutz- oder Erkennungstools (EDR, SIEM, AV usw.) sollte Ihr Sicherheitsteam sofort einen genau definierten IR-Prozess einleiten, um das Problem zu überprüfen und einzugrenzen.

In den meisten Fällen hat das Schutz-Tool (z. B. eine Antiviren-Software oder eine Endpoint Detection & Response-Plattform) seine Aufgabe erfüllt. In anderen Fällen wurde nur ein Teil eines mehrstufigen Angriffs abgefangen oder die Verwendung eines Post-Compromise-Tools wie Mimikatz erkannt. Wenn die erste Sicherheitswarnung, die Sie erhalten, von einem Tool stammt, das nach der Kompromittierung eingesetzt wurde, ist dies besorgniserregend, denn es bedeutet, dass der ursprüngliche Remote-Access-Trojaner dem Angreifer wahrscheinlich weiterhin Zugang zu Ihrem Netzwerk und Ihrer IT-Umgebung verschafft.

Das NIST verfügt über einen soliden, grundlegenden IR-Prozess, der in der folgenden Tabelle dargestellt ist:

Dieses Modell zur Reaktion auf Cybersicherheitsvorfälle ist beim NIST im „Computer Incident Handling Guide“ (PDF) verfügbar. Wir sind darauf spezialisiert, die Schritte zwei und drei des oben dargestellten IR-Prozessdiagramms – Erkennung, Analyse, Eindämmung, Beseitigung und Wiederherstellung – zu vereinfachen und zu optimieren.

Die sechs Schritte des Cyber Security Incident Response Prozesses

Schritt 1: Validierung (Identifizierung)

Sicherheitswarnungen müssen validiert werden - insbesondere, wenn sie von einem passiven Sensor wie einem Netzwerk-IDS stammen. Falschmeldungen (Fehlalarme) kommen häufig vor und sollten von tatsächlichen Bedrohungen unterschieden werden. Unsere Kunden überprüfen in der Regel die vom Erkennungstool bereitgestellten Daten und/oder führen einen Deep Dive auf dem Host durch.

Stellen Sie die folgenden Fragen:

• Handelt es sich um einen tatsächlichen Angriff?
• War der Angriffsversuch erfolgreich?
• Was ist auf dem angegriffenen Endpunkt/Server passiert?
• Wie hoch ist der Schweregrad der Malware oder der alarmierten Aktivität? (Die meisten allgemeinen Informationen und Produkte sind in dieser Hinsicht schlecht, da das, was für ein Unternehmen wichtig ist, für ein anderes möglicherweise nicht wichtig ist).

Mit den Antworten auf diese vier Fragen kann Ihr Sicherheitsteam zu Schritt 2, Triage und Identifizierung, übergehen.

Schritt 2: Triage (Identifizierung)

Wenn ein Teil des Angriffs erfolgreich ausgeführt wurde, ist es wichtig, den Umfang des Vorfalls zu bestimmen, da Angreifer häufig zunächst seitwärts vorgehen. Sie müssen sich fragen: Ist dies das einzige betroffene System? Auch hier kann Datto mit einer schnellen forensischen Sichtung der Systeme innerhalb desselben Subnetzes Abhilfe schaffen. Sammeln Sie zu diesem Zeitpunkt auch alle flüchtigen Beweise wie z. B. Protokolle (einige Protokolle werden schnell überschrieben), wenn Sie später weitere Untersuchungen durchführen möchten.

Hinweis: Dieser Schritt wird oft übersprungen oder nie erwähnt. Wenn Sie Ihr Netzwerk nach einer Kompromittierung nicht triagieren, spielen Sie "Whack-a-mole", was es den Angreifern leicht macht, in Ihrem Netzwerk zu bleiben.

Schritt 3: Eindämmung

Nach der Validierung und Überprüfung müssen Sie die Blutung stoppen und den Zugang des Angreifers entfernen. Wenn Ihr Triage-Prozess Datto nicht einschließt, sollten Sie diesen Schritt bereits beim ersten gefundenen System als Schritt 2 beginnen. Die meisten Antivirenprodukte verfügen über eine Malware-Quarantänefunktion, die jedoch in der Regel nur bei definierter Malware funktioniert und möglicherweise nicht jede Phase des Angriffs unter Quarantäne stellt (moderne Trojaner sind mehrstufig und können sich von einer abgeschwächten oder abgefangenen Phase erholen).

Das Wichtigste ist, die infizierten Hosts einzudämmen und, falls möglich, den Zugriff auf die Netzwerkadressen des Angreifers auf Ihrem Gateway zu blockieren.

Schritt 4: Wiederherstellung

Sie wollen den Betrieb so schnell wie möglich wieder aufnehmen. Wenn nur ein Mitarbeiter betroffen war, müssen Sie ihn wieder zum Arbeiten bringen. Wenn das gesamte Netzwerk oder der Domänencontroller betroffen ist, müssen Sie wahrscheinlich die Domäne neu aufbauen. Die meisten Unternehmen wenden nach wie vor Verfahren zum Löschen und Neuladen an, da die Softwarebereinigung nicht narrensicher ist.

Schritt 5: Untersuchung (optional)

Untersuchungen ermitteln die Grundursache und identifizieren zusätzliche Details, wenn etwas gestohlen oder beeinträchtigt wurde. Leider sind Untersuchungen teuer, zeitaufwändig und erfordern oft ein sehr hohes Maß an Fachkenntnissen. Dennoch sollten Sie die Systeme untersuchen und verschiedene Protokollquellen sammeln, um einen vollständigen Zeitplan des Angriffs zu erstellen. Wenn Sie ein kleines Team mit begrenzten Ressourcen sind, sollten Sie sorgfältig abwägen, ob es sich um einen Angriff handelt, dem Sie nachgehen müssen. In jedem Fall sollten Sie die Wiederherstellung so schnell wie möglich abschließen und weiterarbeiten - es wird in Zukunft noch viele weitere Angriffe geben.

Hinweis: Bevor Sie mit einer langwierigen Untersuchung beginnen, sollten Sie sich immer erst erholen und wieder zur Arbeit gehen.

Schritt 6: Härtung

Untersuchungen zur Reaktion auf Cybersicherheitsvorfälle sind nicht nur in dem seltenen Fall hilfreich, dass Sie den Angreifer finden und strafrechtlich verfolgen können. Sie bieten auch die Möglichkeit, herauszufinden, wie der Angriff erfolgte, und Ihr Netzwerk gegen künftige Sicherheitsvorfälle zu schützen.

Die aus dem Vorfall gezogenen Lehren können die Grundlage für die Entwicklung zusätzlicher Schutzmaßnahmen bilden, um in Zukunft bessere Ergebnisse zu erzielen. Wenn z. B. E-Mail der Vektor war, können Sie wahrscheinlich eine Phishing-Schulung für Mitarbeiter oder einen verbesserten E-Mail-Filter rechtfertigen.

Folge-Empfehlungen

Eine häufig übersehene oder vergessene Aufgabe nach einem Vorfall ist die Revalidierung oder "Zertifizierung". Viele Unternehmen werden nach einem Vorfall mehrfach angegriffen, weil sie es versäumt haben, das Netzwerk richtig einzugrenzen, oder weil der Eintrittsvektor für einen erneuten Angriff immer noch verfügbar war. Kunden wird empfohlen, den Triage-Schritt in ihren Netzwerken in regelmäßigen Abständen zu wiederholen (auch Kompromissbewertung genannt), um sicherzustellen, dass das Netzwerk keinen verbleibenden unbefugten Zugang hat.

Fordern Sie eine Demo an und erfahren Sie, wie unsere umfassende Palette an MSP-orientierten Produkten und Dienstleistungen Teams bei der Reaktion auf Cybersicherheitsvorfälle unterstützt.