Was ist Incident Response?
Incident Response (Reaktion auf einen Sicherheitsvorfall) ist ein fester Ablauf, der bei einem Angriff den Schaden begrenzt und den Betrieb zurückbringt. Wer ihn vorher kennt, handelt ruhig und in der richtigen Reihenfolge.
Ein Stadtwerk bemerkt um 03:00 Uhr, dass sich ein fremdes Konto am Abrechnungsserver angemeldet hat. Jetzt zählt, was zuerst geschieht.
Am Ende dieser Lektion
Notiz
Ich kann die Schritte der Reaktion auf einen Vorfall in die richtige Reihenfolge bringen.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Vorfall | ein Ereignis, das die Sicherheit bedroht oder verletzt | |
| Eindämmen | verhindern, dass sich der Schaden ausbreitet | ein Konto sperren |
| Beseitigen | die Ursache entfernen | |
| Wiederherstellen | den normalen Betrieb zurückbringen | |
| Sicherung (Backup) | eine Kopie der Daten für den Notfall | |
| Playbook | ein vorab geschriebener Ablauf für eine Art von Vorfall |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein Vorfall hat feste Schritte
Zuerst erkennen und prüfen Sie, ob der Alarm stimmt. Dann dämmen Sie den Schaden ein. Danach beseitigen Sie die Ursache und stellen den Betrieb wieder her.
Zum Schluss schreiben Sie auf, was Sie gelernt haben. Die Reihenfolge ist Absicht: Jeder Schritt baut auf dem vorigen auf.
Wie viele Konten hat die Maschine?
wc -l case/etc/passwdHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Wie viele davon haben eine Shell zum Anmelden?
grep -c "/bin/bash" case/etc/passwdHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Erst eindämmen, dann beseitigen
Eindämmen ist schnell und lässt sich zurücknehmen: ein Konto sperren, eine Maschine vom Netz trennen, eine Adresse blockieren.
Beseitigen ist gründlich und dauert länger: die Ursache entfernen, etwa ein geändertes Passwort ersetzen oder ein Schadprogramm löschen. Bevor Sie etwas löschen, sichern Sie, was Sie später als Beleg brauchen.
Ein Beispiel: Maßnahmen und ihr Schritt
| Maßnahme | Schritt | Warum jetzt |
|---|---|---|
| Ein fremdes Konto sperren | Eindämmen | Der Zugriff ist sofort zu |
| Ein geändertes Passwort ersetzen | Beseitigen | Die Ursache wird entfernt |
| Daten aus der Sicherung einspielen | Wiederherstellen | Der Betrieb kommt zurück |
| Eine Liste der Ursachen führen | Nachbesprechen | Das Team lernt daraus |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein häufiger Fehler
Warnung
Viele glauben, man müsse einen befallenen Rechner sofort neu aufsetzen. Das beseitigt die Spuren, bevor Sie wissen, wie der Angreifer hineinkam. Dann kommt er über denselben Weg zurück. Dämmen Sie zuerst ein, sichern Sie Belege und finden Sie die Ursache.
Ein Playbook sagt, wer was tut
Bei einem Vorfall ist keine Zeit zum Nachdenken, wer anruft und wer entscheidet. Ein Playbook legt das vorher fest.
Es nennt für jede Art von Vorfall die Schritte, die Verantwortlichen und wen Sie informieren. Es steht dort, wo es im Notfall jemand findet.
Weiterführend
Schreiben Sie ein kleines Playbook für den Fall, dass ein Konto fremd angemeldet war. Nennen Sie je Schritt eine Maßnahme.
Sagen Sie in einem Satz, wen Sie wann informieren und warum.