- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Fünf Schritte bei der Reaktion auf Incidents


Ein etabliertes Incident-Response-Verfahren ist angesichts der aktuellen Sicherheitsbedrohungen für ein Unternehmen heute unerlässlich
Notfallpläne müssen regelmäßig überprüft und getestet werden

- Anzeigen -





Dass Unternehmen gänzlich vor Sicherheitsvorfällen gefeit sind, ist ein Trugschluss: eine 100-prozentige Absicherung kann es nicht geben. Jedes Unternehmen sollte sich dieser Tatsache stellen und auf Störungen vorbereitet sein. Welche Handlungsschritte sich dann im Fall der Fälle empfehlen, zeigt NTT Com Security auf. Klar ist, dass die Abwehr eines Angriffs nicht erst beim Sicherheitsvorfall selbst beginnen sollte. Im Vorfeld sollte eine Abwehrstrategie etabliert sein. Eine solche Incident-Response-Strategie muss detaillierte Vorgehensweisen und Maßnahmen bei der Behandlung von Sicherheitsvorfällen beinhalten.

Konkret sollten hier beispielsweise Verantwortlichkeiten festgelegt, Aufgaben definiert, Schadensfälle klassifiziert oder Kommunikationsmaßnahmen – auch im Hinblick auf die zentralen Ansprechstellen Cybercrime der Bundesländer oder Strafverfolgungsbehörden – geregelt werden. Doch welche Maßnahmen muss ein Unternehmen im Ernstfall, sprich beim Incident, konkret ergreifen? Sicherheitsexperte NTT Com Security empfiehlt die Einhaltung von folgenden fünf Handlungsschritten:

1. Identifizierung
Zunächst müssen Verantwortliche feststellen, um welchen Vorfall es sich handelt. Zur Analyse können zum Beispiel Log-Files – auch aus SIEM (Security Information and Event Management)-Systemen – herangezogen werden. Zudem müssen sie ermitteln, welche Zielsysteme betroffen sind, welchen aktuellen Status der Angriff hat und inwieweit bereits das gesamte Unternehmensnetzwerk kompromittiert ist. Neben der Erkennung und Erfassung von Sicherheitsvorfällen beinhaltet dieser Schritt auch die Bewertung der Attacke und ihrer Relevanz für unternehmenskritische Systeme und Daten. Nur auf Basis einer solchen detaillierten Analyse kann ein Unternehmen zielgerichtete Abwehrmaßnahmen ergreifen.

2. Stoppen des Angriffs
Der zweite Schritt umfasst das Stoppen beziehungsweise Eindämmen der Attacke. Abhängig vom Angriffsszenario sind hier unterschiedliche Maßnahmen denkbar, vom Abschalten einzelner Systeme über das Abtrennen bestimmter Netzwerkbereiche bis hin zu einem vollständigen Kappen aller Internetverbindungen. Um weitere Angriffe abzuwehren, ist zudem oft ein sofortiges Patchen der Systeme angezeigt. Natürlich muss die IT bei der Eindämmung der Auswirkungen von Sicherheitsvorfällen auch immer die Business Continuity berücksichtigen – gemäß dem Motto "soviel abschalten wie möglich."

3. Wiederherstellung
Der dritte Schritt sieht die Beseitigung aller Schäden vor. Dabei muss die IT alle Systeme, die potenziell betroffen sind, detailliert untersuchen. Das betrifft Betriebssysteme, Applikationen und Konfigurationsdateien ebenso wie alle Anwenderdateien. Zur Überprüfung eignen sich nur Sicherheitstools, die auf neuestem Stand sind wie aktuelle Antivirenlösungen. Bei Datenverlust muss die IT entsprechende Recovery-Maßnahmen ergreifen.

4. Aufnahme des Normalbetriebs
Der nächste Schritt umfasst die Wiederaufnahme des Normalbetriebs, beispielsweise mit der sukzessiven Zuschaltung aller abgeschalteten Subsysteme. Vor der Wiederinbetriebnahme müssen dann auf jeden Fall umfassende Testläufe erfolgen, in denen der reibungslose Systembetrieb überprüft wird – zum Beispiel mittels Anwendungsfunktionstests.

5. Dokumentation und Maßnahmeneinleitung
Der letzte Schritt, den nach Erfahrungswerten von NTT Com Security die meisten Unternehmen vernachlässigen, betrifft die Aspekte Dokumentation beziehungsweise Reporting und Maßnahmeneinleitung. Ein Report muss eine klare Bestandsaufnahme des vergangenen Incidents enthalten sowie eine detaillierte Bewertung der ergriffenen Aktivitäten. So sollte zum Beispiel konkret spezifiziert werden, was gut und was weniger gut gelaufen ist, welche Kosten entstanden sind und in welchen Bereichen sich ein deutlicher Handlungsbedarf herauskristallisiert hat. Auf dieser Basis kann ein Unternehmen dann entsprechende Veränderungen initiieren und Maßnahmen einleiten, um einen gleichartig gelagerten Sicherheitsvorfall künftig zuverlässig auszuschließen.
(NTT Com Security: ra)

eingetragen: 08.04.16
Home & Newsletterlauf: 28.04.16


NTT Security: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Flash-Speicher im Rechenzentrum

    Der Siegeszug von Flash-Speicher im Rechenzentrum setzt sich fort, immer mehr Unternehmen steigen um auf die effiziente Speichertechnologie. Actifio, spezialisiert auf Copy-Data-Virtualisierung, hat dazu eine Partnerschaft mit dem "All-Flash"-Pionier Pure Storage bekannt gegeben. Hervorgegangen ist daraus die Testdatenmanagement-Lösung "AppFlash", die auf Flash-Speicher von Pure Storage und Actifio-Technologie basiert und DevOps-Szenarien unterstützt. "Das Thema Flash wurde bei uns nicht von heute auf morgen aktuell. Bereits im Jahr 2014 gab es zunehmendes Interesse bei Unternehmen - und einige begannen mit einer allmählichen Umstellung. Dabei erwies sich die Kombination der Geschwindigkeit und Effizienz des Flash-Speichers mit den Möglichkeiten der Datenreduzierung als attraktiv", so Thorsten Eckert, Sales Director DACH bei Actifio.

  • Verschlüsselung des Netzverkehrs

    In den Mission-Critical-Kommunikationsnetzen von Stadtwerken, Energieversorgern, Eisenbahnen oder Behörden ist Sicherheit eine Grundvoraussetzung. Da es die Betreiber solcher kritischer Infrastrukturen mit einer wachsenden Zahl von Angriffen, Manipulations- und Spionageversuchen zu tun haben, sollten sie wirksame Schutzvorkehrungen treffen. Keymile skizziert einen Drei-Punkte-Plan für einen höheren Schutz. Aus dem seit Juli 2015 geltenden IT-Sicherheitsgesetz ergeben sich für die Betreiber von anwendungskritischen Kommunikationsnetzen hohe Anforderungen. Eine davon ist eine hochsichere Datenübertragung, die unter anderem durch eine Verschlüsselung gewährleistet werden kann. Weitere, dazu komplementäre Maßnahmen hat Keymile, ein führender Anbieter von Lösungen für die anwendungskritische Kommunikation, in einem Drei-Punkte-Plan zusammengefasst.

  • Niemals verdächtige Anhänge öffnen

    Ein Hotel in Österreich, das schon seit über 100 Jahren exisiteirt, ist mit der Zeit gegangen und hat einige IT-Maßnahmen, wie beispielsweise elektronische Zimmerkarten, eingeführt. Jedoch wurde das Hotel bereits zum vierten Mal Opfer einer Hackerattacke. Diesmal waren die Auswirkungen gering, aber die Folgen des dritten Angriffs waren sehr viel weitreichender. Dabei wurden alle Hotelcomputer inklusive des Reservierungs- und Kassensystems stillgelegt. Auch das komplette Schlüsselsystem funktionierte nicht mehr. Laut einem Bericht auf Orf.at war die Konsequenz daraus, dass die Gäste nicht mehr in ihre Hotelzimmer konnten und neue Schlüssel gar nicht erst programmiert werden konnten.

  • Probleme der Gegenwehr

    Angeblich gab es einmal eine schöne Zeit, da konnten sich die kleinen und mittleren Unternehmen (KMU) in Deutschland noch relativ sicher fühlen, wenn es um Gefahren aus dem Internet ging. Die Gründe: Eine grundsätzlich weniger starke Vernetzung und IT-Abhängigkeit als bei den Großunternehmen und ein mehr lokal orientiertes Business einerseits sowie eine bei weitem noch nicht so professionell organisierte Cyberkriminalität andererseits. Davon ist nichts mehr übrig - auch die "Kleinen" arbeiten heute global, und die Schattenwirtschaft kennt längst ganz genau den oft hohen Wert der Informationen, mit denen mancher "Hidden Champion" unter den High-Tech-Firmen arbeitet, auch wenn er sich nach außen immer noch wie ein traditioneller Familienbetrieb präsentiert.

  • Verbindung zur Google-Cloud kappen

    Wer ein Android-Smartphone oder Tablet benutzt, braucht auch einen Google-Account - eigentlich. Doch es gibt viele Möglichkeiten, den Zugriff des Internetriesen auf die eigenen Daten einzuschränken, schreibt das Computermagazin c't in seiner Ausgabe 4/17. "Google weiß mehr über Android-Nutzer als jede Behörde und jedes andere Unternehmen", erklärt c't-Redakteur Christian Wölbert. Doch schon mit ein paar Klicks lässt sich die Verbindung zur Google-Cloud kappen. So kann zum Beispiel die Aufzeichnung von Suchbegriffen und Standorten sowie die automatische Sicherung von Fotos und Backups deaktiviert werden. Dadurch verhindert man, dass Google ein detailliertes Profil persönlicher Interessen und Aktivitäten anlegt. Darüber hinaus wird das Datenvolumen geschont.