Lässt es sich mit cremefarbenem Papier, einer Tönung, mehr Kontrast oder größerer Schrift besser lesen? Wählen Sie Ihre Farben und Ihre Schrift, einmalig für alle Seiten.

Kostenlose Lektion

Nach einem Vorfall lernen und messen

Nach dieser Lektion: Ich kann aus den Zeiten eines Vorfalls die Zeit bis zur Erkennung und bis zur Behebung ausrechnen.

Lektion, 55 Min.2 BefehleLab zu Incident Response und Forensik: einen kompromittierten Server im Browser untersuchen

Was ist eine Nachbesprechung?

Eine Nachbesprechung (Post-Incident Review) fragt nach einem Vorfall, was geschah, was half und was sich ändern muss. Mit Kennzahlen wie der Zeit bis zur Erkennung sehen Sie, ob das Team besser wird.

Eine Hochschule war drei Tage lang ohne Anmeldesystem. Danach will die Leitung wissen: Wie lange dauerte es, bis wir es merkten? Und wie lange, bis es wieder lief?

Am Ende dieser Lektion

Notiz

Ich kann aus den Zeiten eines Vorfalls die Zeit bis zur Erkennung und bis zur Behebung ausrechnen.

Schlüsselwörter

BegriffWas er bedeutet
Nachbesprechungein Gespräch nach dem Vorfall über Ursache und Lehren
Zeit bis zur Erkennungdie Zeit vom Beginn des Vorfalls bis zur Entdeckung
Zeit bis zur Behebungdie Zeit von der Entdeckung bis zur Lösung
Kennzahleine Zahl, an der man Fortschritt abliest
Ursacheder Grund, aus dem der Vorfall möglich war
Maßnahmeeine Änderung, die einen gleichen Vorfall verhindern soll

Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.

Drei Zeitpunkte sind genug

Jeder Vorfall hat drei Zeitpunkte: Wann begann er? Wann wurde er entdeckt? Wann war er behoben?

Aus ihnen folgen zwei Zeiten. Die Zeit bis zur Erkennung ist Entdeckung minus Beginn. Die Zeit bis zur Behebung ist Behebung minus Entdeckung.

Ein Beispiel: ein Vorfall, zwei Zeiten

AngabeUhrzeitRechnungMinuten
Beginn02:11
Entdeckt09:4009:40 minus 02:11449 bis zur Erkennung
Behoben11:1011:10 minus 09:4090 bis zur Behebung

Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.

Zwei Uhrzeiten in Minuten umrechnen und abziehen

Befehl
echo "02:11 09:40" | awk '{split($1,a,":"); split($2,b,":"); print (b[1]*60+b[2]) - (a[1]*60+a[2])}'

Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.

Dieselbe Rechnung in Python

Befehl
python3 -c "print((9 * 60 + 40) - (2 * 60 + 11))"

Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.

Ein Durchschnitt zeigt, ob das Team besser wird

Ein Vorfall sagt wenig. Viele Vorfälle zeigen einen Verlauf. Addieren Sie die Zeiten und teilen Sie durch die Zahl der Vorfälle.

Sinkt der Durchschnitt von Quartal zu Quartal, wird das Team schneller. Rechnen Sie in ganzen Minuten und runden Sie ab.

Ein Beispiel: der Durchschnitt aus drei Vorfällen

VorfallZeit bis zur ErkennungZeit bis zur Behebung
160 Minuten30 Minuten
210 Minuten45 Minuten
3200 Minuten75 Minuten
Summe270 Minuten150 Minuten
Durchschnitt (Summe geteilt durch 3)90 Minuten50 Minuten

Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.

Ein häufiger Fehler

Warnung

Viele glauben, eine kurze Zeit bis zur Behebung zeige guten Schutz. Doch das Team kann in einer Stunde lösen, was drei Wochen unbemerkt lief. Messen Sie darum beide Zeiten. Die Erkennung ist oft der größere Teil.

Fragen Sie nach Ursache, nicht nach Schuld

In der Nachbesprechung geht es darum, was das System möglich machte, und nicht darum, wer sich geirrt hat. Sonst schweigen die Leute beim nächsten Mal.

Jede Maßnahme bekommt eine verantwortliche Person und ein Datum. Eine Maßnahme ohne beides geschieht nie.

Weiterführend

Denken Sie sich drei Vorfälle mit Beginn, Entdeckung und Behebung aus. Rechnen Sie beide Durchschnitte aus.

Sagen Sie in einem Satz, welche Maßnahme Sie zuerst treffen würden und welche Zeit sie verkürzen soll.

Über dieses Lab und seinen Quellcode: Lab zu Incident Response und Forensik: einen kompromittierten Server im Browser untersuchen

Sie unterrichten eine Gruppe? Weisen Sie dieses Modul Ihren Studierenden zu, mit Handbuch für Lehrende, automatisch geprüften Aufgaben und einem Lab für jede Person.