IT-Vorfallsmanagement
IT-Sicherheit ist ein komplexes Thema, das erklärungsbedürftige Vorgehensweisen mit sich bringt. Um Ihnen unsere Services verständlich zu erläutern, haben wir sie in einen alltäglichen Kontext gebracht. Die Protagonisten sind unsere Kellerhüter Maximilian und Amir.
"Amir ist bekennender Katzenliebhaber. Daher ist es nicht verwunderlich, dass DriveByte einen zotteligen, grau-weißen Bürokater hat. Eines mittags, Amir kommt gerade von einem Geschäftstermin, bemerkt er, wie sein Kater aufgeregt mit der Pfote über seinen Körper kratzt. Da dieses Verhalten ungewöhnlich ist, beschließt Amir dem Auslöser auf den Grund zu gehen."
Vorbereitung
Name? Geburtstag?
Amir legt seinen Kater auf den Schreibtisch und dokumentiert die Körperstellen, die betroffen sind. Wie in unserer Geschichte werden auch bei Ihnen zunächst alle rahmengebenden Informationen abgefragt und auf Basis dessen festgelegt, welche Vorgänge untersucht werden.
Untersuchung
Aha, ein Virus!
Flöhe, ist Amir’s nüchterne Diagnose. Nach einer gründlichen Untersuchung aller internen und externen Faktoren diagnostizieren wir, um welchen Vorfall es sich in Ihrem Unternehmen handelt. Dabei vergleichen wir den Soll-Zustand mit dem Ist-Zustand.
Behandlung
1 Tablette, täglich.
Für Amir heißt es nun, das Fell komplett auszubürsten und die Flöhe so zu bekämpfen. Haben wir einen Vorfall in Ihrem Unternehmen erkannt, ist es unser Ziel diesen einzudämmen und zu stoppen, bevor Schaden angerichtet werden kann. Gleichzeitig identifizieren und blockieren wir den Angreifer.
Nachsorge
Bleib' gesund, großer!
Wie unser Protagonist Amir, lernen wir anschließend aus den Vorfällen. Um weitere Angriffe zu vermeiden gilt es, die Vorfälle zu verstehen, Prozesse in Ihrem Unternehmen zu verbessern und Reaktionsstrategien auf zukünftige Angriffe zu entwickeln.
Technische Vorgehensweise
Im Falle eines Sicherheitsvorfalls kann ein Defensiv-Experte schnelle und methodische Aktionspläne erstellen, um den Vorfall zu lösen und einzudämmen und schließlich zum normalen Betrieb zurückzukehren. Der Defensiv-Experte ist zertifiziert und erfahren auf dem Gebiet der Vorfallsreaktion und hat Zugang zu mehreren verschiedenen Szenarien und Playbooks. Der Experte kann das SOC, das Blue Team oder das Sicherheitsteam des Kunden während eines Vorfalls unterstützen und dafür sorgen, dass der Vorfall in kürzester Zeit behoben wird.
Analyse
In dieser Phase unterstützt der Defensiv-Experte den Kunden bei der Analyse des Vorfalls und der Überprüfung von Kategorie, Schweregrad und Auswirkungen.
Eindämmung
Bei der Eindämmung geht es darum, die Auswirkungen des Vorfalls auf die Infrastruktur und die Anlagen des Kunden so schnell wie möglich einzudämmen und weitere Schäden zu verhindern.
Ausrottung
Sobald die Bedrohung für den Kunden eingedämmt ist, muss sie beseitigt werden. Dieser Schritt umfasst die Suche nach anfälligen und ausnutzbaren Systemen und das Patchen dieser Systeme, um alle verbleibenden Bedrohungen zu beseitigen.
Wiederherstellung
In der Wiederherstellungsphase unterstützt der Defensive-Experte die internen Bemühungen zur Wiederherstellung des normalen Betriebs der Infrastruktur. Dazu gehört auch die erneute Überprüfung auf Anzeichen einer Gefährdung (Indicators of Compromise, IOCs).