- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Fünf Schritte bei der Reaktion auf Incidents


Ein etabliertes Incident-Response-Verfahren ist angesichts der aktuellen Sicherheitsbedrohungen für ein Unternehmen heute unerlässlich
Notfallpläne müssen regelmäßig überprüft und getestet werden

- Anzeigen -





Dass Unternehmen gänzlich vor Sicherheitsvorfällen gefeit sind, ist ein Trugschluss: eine 100-prozentige Absicherung kann es nicht geben. Jedes Unternehmen sollte sich dieser Tatsache stellen und auf Störungen vorbereitet sein. Welche Handlungsschritte sich dann im Fall der Fälle empfehlen, zeigt NTT Com Security auf. Klar ist, dass die Abwehr eines Angriffs nicht erst beim Sicherheitsvorfall selbst beginnen sollte. Im Vorfeld sollte eine Abwehrstrategie etabliert sein. Eine solche Incident-Response-Strategie muss detaillierte Vorgehensweisen und Maßnahmen bei der Behandlung von Sicherheitsvorfällen beinhalten.

Konkret sollten hier beispielsweise Verantwortlichkeiten festgelegt, Aufgaben definiert, Schadensfälle klassifiziert oder Kommunikationsmaßnahmen – auch im Hinblick auf die zentralen Ansprechstellen Cybercrime der Bundesländer oder Strafverfolgungsbehörden – geregelt werden. Doch welche Maßnahmen muss ein Unternehmen im Ernstfall, sprich beim Incident, konkret ergreifen? Sicherheitsexperte NTT Com Security empfiehlt die Einhaltung von folgenden fünf Handlungsschritten:

1. Identifizierung
Zunächst müssen Verantwortliche feststellen, um welchen Vorfall es sich handelt. Zur Analyse können zum Beispiel Log-Files – auch aus SIEM (Security Information and Event Management)-Systemen – herangezogen werden. Zudem müssen sie ermitteln, welche Zielsysteme betroffen sind, welchen aktuellen Status der Angriff hat und inwieweit bereits das gesamte Unternehmensnetzwerk kompromittiert ist. Neben der Erkennung und Erfassung von Sicherheitsvorfällen beinhaltet dieser Schritt auch die Bewertung der Attacke und ihrer Relevanz für unternehmenskritische Systeme und Daten. Nur auf Basis einer solchen detaillierten Analyse kann ein Unternehmen zielgerichtete Abwehrmaßnahmen ergreifen.

2. Stoppen des Angriffs
Der zweite Schritt umfasst das Stoppen beziehungsweise Eindämmen der Attacke. Abhängig vom Angriffsszenario sind hier unterschiedliche Maßnahmen denkbar, vom Abschalten einzelner Systeme über das Abtrennen bestimmter Netzwerkbereiche bis hin zu einem vollständigen Kappen aller Internetverbindungen. Um weitere Angriffe abzuwehren, ist zudem oft ein sofortiges Patchen der Systeme angezeigt. Natürlich muss die IT bei der Eindämmung der Auswirkungen von Sicherheitsvorfällen auch immer die Business Continuity berücksichtigen – gemäß dem Motto "soviel abschalten wie möglich."

3. Wiederherstellung
Der dritte Schritt sieht die Beseitigung aller Schäden vor. Dabei muss die IT alle Systeme, die potenziell betroffen sind, detailliert untersuchen. Das betrifft Betriebssysteme, Applikationen und Konfigurationsdateien ebenso wie alle Anwenderdateien. Zur Überprüfung eignen sich nur Sicherheitstools, die auf neuestem Stand sind wie aktuelle Antivirenlösungen. Bei Datenverlust muss die IT entsprechende Recovery-Maßnahmen ergreifen.

4. Aufnahme des Normalbetriebs
Der nächste Schritt umfasst die Wiederaufnahme des Normalbetriebs, beispielsweise mit der sukzessiven Zuschaltung aller abgeschalteten Subsysteme. Vor der Wiederinbetriebnahme müssen dann auf jeden Fall umfassende Testläufe erfolgen, in denen der reibungslose Systembetrieb überprüft wird – zum Beispiel mittels Anwendungsfunktionstests.

5. Dokumentation und Maßnahmeneinleitung
Der letzte Schritt, den nach Erfahrungswerten von NTT Com Security die meisten Unternehmen vernachlässigen, betrifft die Aspekte Dokumentation beziehungsweise Reporting und Maßnahmeneinleitung. Ein Report muss eine klare Bestandsaufnahme des vergangenen Incidents enthalten sowie eine detaillierte Bewertung der ergriffenen Aktivitäten. So sollte zum Beispiel konkret spezifiziert werden, was gut und was weniger gut gelaufen ist, welche Kosten entstanden sind und in welchen Bereichen sich ein deutlicher Handlungsbedarf herauskristallisiert hat. Auf dieser Basis kann ein Unternehmen dann entsprechende Veränderungen initiieren und Maßnahmen einleiten, um einen gleichartig gelagerten Sicherheitsvorfall künftig zuverlässig auszuschließen.
(NTT Com Security: ra)

eingetragen: 08.04.16
Home & Newsletterlauf: 28.04.16


NTT Security: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Einfallstore für Hacker schließen

    Der Cyber-Angriff durch den Krypto-Trojaner WannaCry belegt, dass nur ein zuverlässiges und vor allem zeitnahes Patch- und Versionsmanagement die Sicherheit der IT-Infrastruktur gewährleistet. DeskCenter Solutions AG warnt in diesem Zusammenhang eindringlich vor Quick Fixes: Unternehmen sollten jetzt nicht nur kurzfristige Maßnahmen zum Schutz vor dem WannaCry-Trojaner ergreifen, mahnt Christoph A. Harvey, Chief Excecutive Officer bei DeskCenter. Wesentlich effektiver, weil nachhaltiger, sei es, einen ganzheitlichen Schutz vor Ransomware zu etablieren, so Harvey. Sein Unternehmen, seit zehn Jahren mit entsprechenden Lösungen am Markt, hat hierzu unter einen Vier-Stufen-Check zum Download herausgegeben. Damit können IT-Verantwortliche systematisch prüfen, wie gut sie bereits vor Ransomware-Befall geschützt sind und welche Maßnahmen sie noch zusätzlich ergreifen sollten.

  • Windows wird am häufigsten angegriffen

    In beeindruckender Regelmäßigkeit sind immer wieder Schlagzeilen zu lesen, in denen Security-Software durch eigene Lücken und kritische Fehler für zusätzliche Risiken sorgen. Vor einigen Wochen sprach nun Robert O'Callahan, ehemaliger Mozilla-Entwickler, aus, was unter IT-Sicherheitsexperten längst heiß diskutiert wird: Er misstraut Antiviren-Software grundsätzlich und bezeichnet Antivirus-Lösungen sogar als "snake oil" oder "Schlangenöl". So werden Produkte bezeichnet, die entweder nur geringe oder gar keine Funktionen haben. Einzig Microsoft hätte nach Meinung O´Callahans mit Defender in Windows gute Arbeit geleistet.

  • Warnung vor gefälschten Kleinanzeigen

    Kleinanzeigenmärkte im Internet boomen, hier suchen Nutzer vermehrt nach gebrauchten Waren, einem Job oder einer Wohnung. Mit betrügerischen Angeboten wollen Kriminelle das ausnutzen: "Bei der Durchsicht von Online-Anzeigen sollte man aktuell besonders vorsichtig sein", sagt Peter Meyer, Leiter des Anti-Botnet-Beratungszentrums Botfrei im eco - Verband der Internetwirtschaft e. V. "Bösewichter mischen ihre gefälschten Anzeigen unter die echten mit dem Ziel, über Betrugsversuche an die Daten und das Geld der Nutzer zu gelangen." Scheinbar von den Seitenbetreibern unbehelligt breiten sich die falschen Anzeigen immer stärker aus. "Viele Geschädigte verzichten auf eine Anzeige bei der Polizei. Möglicherweise weil sie sich wenig Hoffnung machen, ihr Geld wieder zu bekommen", sagt Meyer. Doch nur wenn Geschädigte Anzeige erstatten haben Ermittlungsbehörden und Seitenbetreiber eine Chance, gegen die Betrüger vorzugehen.

  • So schaltet man WannaCrypt aus

    Seit dem Wochenende (12. Mai 2017) verbreitet sich weltweit eine aggressive Schadsoftware unter dem Namen "WannaCrypt". Aus aktuellem Anlass finden Sie nachfolgend Hintergrundinformationen des Anbieters für Sicherheitslösungen, Ivanti, zu dieser Form von Ransomware sowie Tipps, sich davor zu schützen. Es scheint sich hier um eine Variante von WanaDecryptor zu handeln, einer relativ neuen Form von Ransomware. Diese spezielle Ransomware wird von 30% der AV-Anbieter mit aktuellen Virendefinitionen korrekt identifiziert und blockiert. Aktuell ist kein allgemeiner Schlüssel für die Dekodierung (Crack-Code) verfügbar. Diese Malware verändert Dateien in den Verzeichnissen /Windows und /windows/system32 und infiziert weitere Benutzer im Netzwerk. Beide Aktionen erfordern Administratorrechte.

  • Was tun? Ransomware-Angriff "WannaCry"

    Der bekannt gewordene Ransomware-Angriff mit den Namen "WannaCry" hat nach Presseberichten nie zuvor dagewesenen Ausmaße an Geschwindigkeit und Verbreitung erreicht. Fünf konkrete Handlungsempfehlungen zur Ransomware "WannaCry"