Was ist Incident Response?

Das National Institute of Standards and Technology (NIST) und das SANS Institute haben weithin anerkannte Modelle entwickelt, die die verschiedenen Phasen der IR definieren. Die sechs vom SANS Institute vorgeschlagenen Phasen werden nachfolgend beschrieben.

Dies ist der Prozess der Erstellung, Überprüfung oder Verfeinerung von IR-Richtlinien und -Verfahren, der als kontinuierliche Aufgabe betrachtet werden sollte. Das Unternehmen sollte regelmäßig Risikobewertungen durchführen, damit es die Incident Response nach System, Daten und Schweregrad des Vorfalls priorisieren kann. Ziel ist es, die effektivsten Verfahren, Technologien und Methoden zu ermitteln, die dazu dienen, einen Vorfall (Incident) zu erkennen, zu minimieren und zu beheben. Dazu gehört auch ein zuverlässiger Prozess zur regelmäßigen Erstellung von Backups, die für die Wiederherstellung benötigt werden. In dieser Phase werden auch Simulationen und Szenarien durchgeführt. Anschließend können Tools wie Playbooks und Vorlagen erstellt werden, um im Falle eines tatsächlichen Angriffs die effektivsten Reaktionsprotokolle zu gewährleisten.

Diese Phase, auch als Erkennung bezeichnet, umfasst den Einsatz von Technologien und Methoden, um festzustellen, dass ein Sicherheitsvorfall stattgefunden hat, beispielsweise ein Cyberangriff. Es gibt viele Sicherheitslösungen, mit denen Systeme und Daten in Echtzeit überwacht und Warnungen und Reaktionen automatisiert werden können. Häufig verwenden Unternehmen eine SIEM-Plattform (Security Information and Event Management). Die Daten aus Tools wie Gerätelogs, Intrusion Detection Systemen oder Firewalls werden genutzt, um verdächtige Aktivitäten zu erkennen. Die Warnmeldungen werden dann an das Incident-Response-Team weitergeleitet, das sie analysiert und triagiert, dabei Indikatoren für Kompromittierungen (IoC) identifiziert und Fehlalarme eliminiert. Bei einem sicherheitsrelevanten Vorfall kommt der IR-Plan zum Einsatz, indem das zuständige Personal benachrichtigt und der Kommunikationsplan befolgt wird.

Bei der Eindämmung geht es darum, zu verhindern, dass ein identifizierter Vorfall oder Angriff weiterhin Schäden an Systemen, Daten oder dem Unternehmen verursacht. In erster Linie müssen betroffene Systeme isoliert werden, damit sich der Angriff nicht ausbreiten kann. Auch langfristige Eindämmungsmaßnahmen müssen umgesetzt werden. Dazu gehören strengere Sicherheitskontrollen für nicht betroffene Systeme, beispielsweise durch die Installation von Sicherheitspatches oder Updates. Wichtig ist auch, forensische Beweise für den Angriff zu sammeln und aufzubewahren, damit sie in der Phase nach dem Vorfall analysiert werden können.

In dieser Phase wird die Bedrohung vollständig beseitigt. Dies kann bedeuten, einen Angreifer zu entfernen oder Malware zu löschen. Es gilt sicherzustellen, dass keine Spuren des Angriffs oder der Sicherheitsverletzung zurückbleiben, damit Daten und/oder Systeme vollständig wiederhergestellt werden können.

Jetzt geht es darum, Systeme, Daten und Abläufe wiederherzustellen, damit das Unternehmen wieder reibungslos funktionieren kann. Das Team stellt die Daten aus der letzten sauberen Kopie wieder her und nimmt aktualisierte Ersatzsysteme in Betrieb. Nach der Wiederherstellung müssen die Systeme getestet, überwacht und validiert werden.

Die Überprüfung nach dem Vorfall ist die letzte Phase: Das Team untersucht die während des Vorfalls gesammelten Beweise und die Art und Weise, wie das Ereignis gehandhabt wurde. Möglicherweise muss das Unternehmen während der Untersuchung die Strafverfolgungsbehörden einschalten. Insgesamt geht es in der Überprüfungsphase darum, die Stärken und Schwächen der Incident Response des Unternehmens zu erfassen und Verbesserungsmöglichkeiten zu ermitteln. Im Falle eines Angriffs ist es wichtig, die Ursache zu verstehen und zu verstehen, wie der Angreifer das Netzwerk durchbrechen konnte. In dieser Analyse könnte das Team folgende Daten berücksichtigen: die durchschnittliche Zeit bis zur Erkennung, bis zur Identifizierung, bis zur Reaktion oder bis zur Eindämmung und die Gesamtkosten. 

Die Analyse nach Vorfällen ist ein wichtiger Bestandteil des IR-Prozesses. Das Unternehmen kann in der Folge seine Sicherheitsstrategie stärken, um die Wahrscheinlichkeit eines erneuten Auftretens eines ähnlichen Ereignisses zu reduzieren. Außerdem erhält das Team damit die Daten, die es benötigt, um seinen IR-Plan zu aktualisieren und seine Tools, Systeme oder Prozesse zu verbessern oder anzupassen.