Incident Response: Profis für den Ernstfall
Arbeiten Sie im im Ernstfall mit Profis und sparen Sie zehntausende Euro, verursacht durch unkoordinierte Aktionen im "Headless Chicken Mode".
Sie suchen keine Informationen, sondern Hilfe in einem akuten Notfall? Wenden Sie sich bitte an unsere Incident Response Hotline unter +49 89 890 63 62 61 oder per E-Mail unter incidentresponse@hvs-consulting.de.
Die richtige Response für Ihren Incident
Ein Cyber Incident ist eine absolute Ausnahmesituation. Die meisten betroffenen Personen erleben einen solchen Notfall zum ersten Mal und haben meist weder Pläne, noch Anleitungen oder Prozesse, um diese Situation zu meistern.
Dabei ist Incident Response deutlich mehr als forensische Analysen und die Umsetzung einzelner technischer Maßnahmen. Es braucht stets aktuelle Lagebilder, Strukturen und vor Allem auch einen professionellen Incident Koordinator, der die beteiligten Parteien steuert (IT, Geschäftsführung, Forensiker, PR, usw.), Ruhe und Struktur in den meist unkoordinierten Aktionismus bringt und klare Ermittlungsziele definiert und verfolgt, um die Notfallsituation schnell und kosteneffizent zu beenden.
Unsere Experten haben in den letzten 10 Jahren hunderte Manntage mit Incident Response verbracht, vom Mittelstand bis zum Großkonzernen (DAX40) und einen großen Erfahrungsschatz aufgebaut. In Friedenszeiten unterstützen wir Sie bei der Optimierung Ihrer Cyber Defense und im Ernstfall mit Koordination, forensischen Analysen und internen und externer Kommunikation.
Incident Response: die Analyse Phase
Bei Auffälligkeiten in der flächendeckenden Analyse wird wiederum eine Triage eingeleitet und die verschiedenen Phasen solange iterativ durchlaufen, bis sich keine neuen Erkenntnisse mehr ergeben.
Die Ergebnisse der verschiedenen Analyseansätze werden in einer Timeline konsolidiert und weiter analysiert, um die Angreifer-Aktivitäten über mehrere Systeme hinweg zu korrelieren und die Interaktionen zwischen diesen Systemen zu erkennen. Die Schritte/Phasen des Angriffs klassifizieren wir auf der Grundlage des MITRE ATT&CK Frameworks. Das hilft dabei, das Vorgehen der Angreifer und das Motiv zu erkennen, sowie Abhilfemaßnahmen zu ergreifen und solche Angriffe in Zukunft zu verhindern.
Welche Systeme können wir analysieren
Da die meisten Unternehmen eine Microsoft-Umgebung betreiben, werden Windows-Systemen (Server & Clients) auch am häufigsten analysiert. Wir verwenden spezialisierte Tools für die Beweissicherung und forensische Analyse.
Obwohl Incidents häufiger auf Windows-Systemen auftreten, können wir auch forensische Analysen von Linux-Systemen durchführen und verfügen über entsprechende Spezial-Tools und Know-how.
Auch wenn Macs in Unternehmen noch eher exotisch sind... auch sie werden kompromittiert und deshalb können wir auch Apple Systeme forensisch analysieren.
Da sich die Cloud-Umgebungen stark von On-Premise-Umgebungen unterscheiden, sind hier auch andere Ansätze und Methoden für Incident Response erforderlich. Unser Team hat bereits eine Vielzahl unterschiedlicher Cloud-Incidents in der Azure und AWS Cloud bearbeitet.
Ehrlich gesagt ist uns eine Analyse Ihrer Infrastruktur über EDR Lösungen am liebsten. Warum? Über das zentrale Management lassen sich schnell Artefakte für weitere Analysen einsammeln, die Telemetriedaten offenbaren oft das genaue Vorgehen der Angreifer und wir können schnell ein effektives Monitoring auf weitere Aktivtäten implementieren.
Insbesondere Logdaten von zentralen Systemen helfen ebenfalls bei der Analyse, wenn erste Fakten bekannt sind. So lassen sich Verdachtsmomente schnell eingrenzen, ausschließen oder erhärten. Zudem sind zentral gespeicherte Logdaten nur schwer durch Angreifer zu manipulieren.
Incident Response: die Remediation-Phase
Jede Incident Response hat als abschließendes Ziel die souveräne Kontrolle über die IT-Infrastruktur wieder zurückzuerlangen, das erneute Auftreten eines ähnlich gelagerten Angriffes zu verhindern und alle Spuren auf den Systemen zu beseitigen, um wieder eine saubere Ausgangslage zu schaffen.
Typische Maßnahmen sind, kompromittierte Systeme neu aufzusetzen und alle Passwörter von kompromittierten Konten zu ändern. All das sollte in einem kurzen Zeitraum, in der Regel innerhalb eines Tages, stattfinden, damit die Angreifer möglichst keine Chance haben, bereits neu aufgesetzte Systeme wieder zu kompromittieren.
Das ist oft harte Arbeit und erfordert viele Beteiligte, bis hin zur obersten Führungsebene, da ein solcher "D-Day" in den meisten Fällen Auswirkungen auf den Geschäftsbetrieb haben wird. Zudem benötigen Sie unbedingt professionelle Projektmanager, die einen sauberen und realistischen Zeitplan erstellen, Rollen und Verantwortlichkeiten verteilen, die Kommunikation zwischen den Beteiligten sicherstellen und und die Qualität an Hand von KPIs unter Kontrolle haben.
