Geplante Reaktionen auf Cyberangriffe Incident-Response-Pläne und -Playbooks erstellen

Über alle Branchen hinweg kommt es immer wieder zu Cyberangriffen auf Unternehmen jeglicher Größe in Deutschland. Sie werden unter anderem mit Ransomware, DDoS-Attacken, Spyware und generischer Malware konfrontiert. Erschreckend ist daher, dass viele IT-Entscheider in Deutschland ihre Cyberabwehr auf die leichte Schulter nehmen

Laut einer aktuellen Studie halten 41 Prozent der Befragten die Erstellung von Incident-Response-Plänen, die im Falle des Falles das Team in der Reaktion auf einen Sicherheitsvorfall anleiten können, für Zeit- und Geldverschwendung. Damit Cyberangriffe jedoch effizient behoben und ihre Folgen schnell eingegrenzt werden können, bedarf es einer kontinuierlichen und gründlichen Vorbereitung, produktiver Zusammenarbeit zwischen IT-Sicherheitsteams, IT-Entscheidern und der Managementebene sowie einer gelebten Sicherheitskultur im gesamten Unternehmen.

Dies erfordert ein Bewusstsein für Cybersicherheit seitens der Führungsebene. Denn eines ist klar: Für eine gute Vorfall­reaktions­kapazität braucht es neben regelmäßiger Vorbereitung auch ausreichend Zeit und Ressourcen. Diese sollten neben einem ausgeklügelten Patch-Management zur Schwachstellen­beseitigung, Status-quo-Analysen und regelmäßigen Sicherheitsschulungen in die Erstellung von Incident-Response-Maßnahmen einfließen. Diese recht einfach umzusetzenden Schutzmaßnahmen sollten in keinem Unternehmen fehlen.

Incident Response als präventive Maßnahme

Allerdings stärken Prozesse, Pläne und Playbooks aus dem Bereich Incident Response nicht nur die Cyberresilienz eines Unternehmens bei einem Angriff, sondern auch unmittelbar durch eine erhöhte Sensibilisierung der Mitarbeiter für mehr Risikobewusstsein. Im Fall der Fälle bietet Incident Response eine solide Grundlage für informierte Entscheidungen und schnelle Orientierung über einzuleitende Schritte. Incident-Response-Pläne legen als Herzstück der Cyberabwehrstrategie formell die Zuständigkeit für verschiedene Arten von IT-Sicherheitsvorfällen fest und beschreiben Schritt für Schritt, welche Maßnahmen zur Identifizierung und Behebung einzuleiten sind.

Ein exemplarischer Incident-Response-Plan weist folgende Inhalte auf:

Übersicht: Hier werden die Inhalte schnell ersichtlich und gut gegliedert aufgeführt.

Incident Klassifizierung: Hierbei handelt es sich um die unmissverständliche Beschreibung denkbarer Sicherheitsvorfälle einschließlich konkreter Definitionen. Für das spezifische Unternehmensumfeld sollte Einigkeit bestehen bei der Frage: „Was ist ein Information Security Incident?“

Incident Priorisierung: Die Schwere eines Vorfalls wird anhand seiner möglichen Auswirkungen auf die folgenden Einrichtungen definiert:

• Geschäftsprozesse

• Sensible Daten

• Fortschritt des Angreifers (zum Beispiel „gained control“)

• Klare Definition der „Incident Priority Level” von Critical 1 bis 4 (mehr oder weniger abhängig vom Kunden)

Auswirkungen eines Vorfalls zu den Prioritätsstufen zuordnen.

Incident Kategorien: Die verschiedenen möglichen Vorfallarten beschreiben, wie etwa Phishing, Malware Outbreak, usw.

Incident Response Team Level: Das Incident-Response-Team besteht aus Mitgliedern unterschiedlicher Hierarchieebenen wie Sicherheitsexperten, Bedrohungsspezialisten sowie technischen und nicht-technischen Entscheidern, deren Aufgabenverteilung geklärt sein sollte.

Incident Response RACI Matrix: Festlegung der Verantwortlichkeiten und Zuständigkeiten bei einem Sicherheitsvorfall: Wer muss mit welchen Informationen versorgt werden?

Mapping von Incident Response und Cyber Crisis Management Plan (CCMP): Grafische Darstellung der notwendigen Schritte bei einem Angriff oder einer entdeckten Schwachstelle.

Incident Metriken und Incident Response SLAs: Definierung der Zeiten für unterschiedliche Aufgaben im IR-Plan.

Darüber hinaus helfen Incident-Response-Playbooks dabei, die verschiedenen Teilaufgaben bei der Bewältigung eines Angriffes; von der Identifizierung bis zur Wiederherstellung und nachgelagerten Aktivitäten, mithilfe von „Aktionsblöcken“ detailliert auszuarbeiten. Damit kann das Unternehmen im Bedarfsfall zeitnah reagieren.

Inhalte für Incident-Response-Playbooks

Gemäß “Incident Response Life Cycle” des NIST sollten Incident-Response-Playbooks folgende Inhalte haben:

1. Vorfallreaktion vorbereiten:

• Die Vorbereitung umfasst verschiedene Maßnahmen zur Vorbeugung auf einen Angriff wie Schwachstellen-Management, Sensibilisierung der Anwender und Malware-Prävention.

• Im Rahmen des Alert-Field-Set werden vorfallspezifisch Rollen, Eskalationsszenarien und Kontakt-Tools zur Benachrichtigung von Stakeholdern festgelegt.

• Benötigte Zugänge, Software und Ressourcen sollten verteilt und Automatisierungen und Integrationen für Security Orchestration, Automation and Response (SOAR-) Systeme eingerichtet werden.

2. Umfassenden Untersuchungsprozess etablieren:

• Vor der Analyse hilft die Dokumentation dabei, Analysefelder zu definieren und im Vorfallmanagementsystem auszugestalten.

• Bei der Triage wird anschließend die Priorisierung und Kategorisierung des Vorfalls vorgenommen, eine Falschmeldung ausgeschlossen und verwandte Vorfälle gesucht.

• Bei der Analyse selbst werden mithilfe von Protokollen, Assets, angereicherten Artefakten sowie der Festlegung des Vorfallbereichs Patient Zero und der Einstiegspunkt identifiziert. Dabei helfen Vorfalldaten wie Hostname, IP-Adresse, Datei-Hash oder URL.

• Hierauf basierend kann das Team eine Risikoabschätzung abgeben und je nach Eskalationsstufe und Betroffenen die Folgemaßnahmen ausarbeiten.

• Schließlich folgt die schnellstmögliche Benachrichtigung aller Beteiligter eines Vorfalls.

3. Eindämmen, beseitigen, wiederherstellen:

• Zweck der Eindämmung ist es, die Situation unter Kontrolle zu behalten, indem geeignete Maßnahmen anhand der vorliegenden Objekttypen und möglichen Aktionen getroffen werden.

• Zu diesen können, abhängig vom potenziellen Risiko, das Entfernen einer schädlichen Datei, die Verhinderung ihrer Aktivierung oder die Isolierung eines Netzwerk-Hosts zählen.

• Zur Beseitigung kommen, neben ähnlichen Aktionen wie bei der Eindämmung, die Bereinigung aller Anzeichen eines Angriffs, Health Checks und das Rückgängig machen vorgenommener Änderungen in Frage.

• Bei Bedarf müssen beschädigte Dateien wiederhergestellt werden.

4. Aus dem Vorfall lernen:

Die gewonnenen Erfahrungen und Erkenntnisse sollten in die Optimierung der Vorfallreaktionskapazitäten einfließen. Hilfreiche Fragen hierfür können sein:

• Hätte das Team Informationen besser mit anderen Organisationen oder Abteilungen

• austauschen können?

• Welche zusätzlichen Tools oder Ressourcen werden benötigt, um ähnliche Vorfälle zukünftig zu verhindern oder einzuschränken?

• Wurden falsche Maßnahmen ergriffen, die Schäden verursachten oder die Wiederherstellung behinderten?

Fazit: Was leistet Incident Response für Unternehmen?

Um im Falle eines Cyberangriffes schnell reagieren können, müssen Cybersicherheitsexperten, IT Entscheider und Unternehmensführung an einem Strang ziehen. Neben dem gemeinsamen Bekenntnis zur Cybersicherheit, der Sensibilisierung aller Mitarbeiter und ausgeklügeltem Patch-Management, sind dabei Tools, Prozesse und Leitfäden aus dem Bereich Incident Response äußerst empfehlenswert. Denn sie ermöglichen die schnelle und koordinierte Antwort auf Vorfälle verschiedener Art. Incident-Response-Pläne helfen bei der Identifizierung und Behebung, indem sie die nötigen Schritte, Zuständigkeiten und Eskalationsstufen beschreiben. Dies reicht von der Taxonomie über die Priorisierung bis hin zur Terminierung von Maßnahmen. Incident-Response-Playbooks deklinieren für bestimmte Vorfälle, welche Schritte von den jeweiligen Verantwortlichen zu leisten sind – von der Vorbereitung auf einen Angriff, über die Untersuchung und Analyse bis hin zur Rekapitulation und Optimierung.

Über den Autor: Kai Schuricht ist Lead Incident Response Specialist bei Kaspersky.

(ID:49844447)