Be prepared Security Incident Response Playbooks

Was bisher oft nur unter Experten für Cyber Security / Informations­sicherheit offen ausgesprochen wurde, findet sich mittlerweile in den Artikeln bekannter Zeitungen, Fachblätter und Blogs wieder - der Fakt, dass es heute nicht mehr die Frage ist, ob man angegriffen wird, sondern nur noch wann und in welchem Ausmaß.

Basierend auf dieser Annahme und den daraus resultierenden Konsequenzen, verbleibt einem verantwortungsbewussten Management nur eine sinnhafte Handlungsoption und diese lautet: „So gut wie möglich für den Ernstfall vorbereitet zu sein.“

Was bedeutet das konkret? Schaffen wir alle proaktiven Sicherheitsmechanismen wie z.B. Firewalls ab und betrachten nur noch Fragestellungen, die sich mit dem Umgang eines Sicherheitsvorfalles beschäftigen? Die klare Antwort lautet: NEIN. Wie immer ist es der richtige Mix, der sich aus proaktiven Sicherheitsmechanismen und dem Erarbeiten eines möglichen Umgangs mit einem Sicherheitsvorfall ergibt. Hierbei ist zu beachten, dass mittlerweile auch Global Player mit ausgereiften Security Operation Center nicht immer Angriffe abwehren oder sofort erkennen können. Daran kann man erkennen, dass auch diese Unternehmen erkannt haben, dass die Vorbereitung auf ein solches Ereignis essenziell ist und man sich vor allem mit dem Umgang und den Maßnahmen zur Eindämmung der Auswirkungen auseinandersetzen muss. In diesem Zusammenhang können grundsätzlich immer folgende zwei Fragen gestellt werden.

• 1. Was wird grundsätzlich unternommen, um Sicherheitsvorfälle zu verhindern?

• 2. Wie wird vorgegangen, wenn jetzt ein Sicherheitsvorfall eintritt?

Ein wesentliches Element für eine solch gute Vorbereitung sind die sogenannten Playbooks – sinnführend übersetzt könnte man von Reaktionsplänen sprechen. Ziel dieser Playbooks ist es, die Auswirkungen eines bereits eingetretenen Cybersecurity-Vorfalls möglichst gering zu halten. Dies wird primär dadurch erreicht, dass man für einen klar definierten Vorfall (Scope-Definition) bereits effektive und abgestimmte Aktionen, Verantwortlichkeiten und Kommunikationsstrukturen festgelegt hat.

Was aber macht ein gutes Playbook aus?! Hier die wichtigsten Merkmale dafür:

• Der Vorfall, der das Playbook in Gang setzen soll, muss eindeutig und widerspruchsfrei definiert werden

• Der Fokus der Aktionen / Anweisungen muss darauf liegen „Wie gehe ich mit den Konsequenzen des definierten Vorfalls um?“ – die Frage nach der „Ursachenforschung“ steht hier NICHT im Mittelpunkt

• Die Dokumentenstruktur und auch die Formulierungen sind einfach zu halten, so dass nicht nur ein Cybersecurity-Experte mit jahrzehntelanger Erfahrung den Ausführungen folgen kann

• Keine „theoretischen Abhandlungen“, sondern praktische Anwendbarkeit der Anweisungen bezogen auf die jeweiligen Gegebenheiten

• Hilfestellungen und Regelungen zur Entscheidungsfindung - beispielsweise sollte geklärt sein, welche Zielsetzungen prioritär (bspw. Wiederherstellung des Betriebs / Analyse etc. verfolgt werden

• Definition von Melde- und Informationsketten – sowohl für externe (z. B. Versicherungen, Behörden) als auch interne Stellen (z. B. Geschäftsführung, Datenschutzbeauftragter, Informationssicherheitsbeauftragter)

• Festlegung von Kommunikationswegen sowie Kommunikationsmitteln (z. B. zur Information / Benachrichtigung von Behörden, Aufsichten, Kunden, Geschäftspartner)

• Aktualität – hier ist eine regelmäßige Pflege / Aktualisierung der Playbooks gemeint

Kritische Stimmen aus dem operativen Bereich werden jetzt sicherlich die Frage aufwerfen „Brauche ich Playbooks für alles?“ – die Frage lässt sich nicht mit einem klaren Ja oder Nein beantworten, da für die sinnvolle Erstellung von Playbooks die einzelnen Gegebenheiten zu betrachten sind. Hierbei spielen vor allem die individuellen Schadenspotenziale eine große Rolle. Grundsätzlich ist zu beachten, dass Playbooks eine gewisse Abstraktionsebene nicht verlassen sollten. Zu detailliert gestaltete Ansätze erzeugen lediglich eine zu große Vielzahl an Dokumenten. Aufgrund der aktuellen Angriffsverteilung empfiehlt es sich mit einem Playbook für Ransomware-Befall zu starten. Sinnhafterweise sollten folgende Szenarien zusätzlich sukzessive im Rahmen von Playbooks behandelt werden.

• Ausbruch von Viren bzw. Malware

• Vorgehen bei DDoS bzw. DoS-Angriffen

• Umgang mit Datenpannen / Datenverlust

• Umgang mit kompromittierten Credentials

• Vorgehen bei Missbrauch von Credentials / Berechtigungen

In Anbetracht der doch nicht kleinen Anzahl werden sich viele fragen, ob Playbooks nicht ein weiteres Stück Papier für die Ablage sind und damit „unnötigen Aufwand“ darstellen. Ob sich dies bewahrheitet, hängt davon ab, inwiefern IT-Security gelebt wird. Messbar ist dies oft an Punkten wie durchgeführte Lessons learned nach einem Sicherheitsvorfall oder auch darin, ob man Ressourcen für eine Simulation von Sicherheitsvorfällen / die Nutzung von Playbooks bereitstellt. Denn auch hier gilt – wie bei allen Notfallvorkehrungen – „Übung macht den Meister“. Hier ist es sicherlich auch sinnvoll eine effiziente Verbindung z. B. zum Bereich Notfallübungen im Sinne eines Business Continuity Managements (BCM) herzustellen. Ein Playbook Probelauf kann sicherlich im Rahmen eines BCM-Testszenarios mit erprobt werden und die gemeinschaftlichen Lessons learned tragen in beiden Feldern zu einer Verbesserung bei.

Abschließend lässt sich festhalten, dass Playbooks ein wichtiges Instrument im Umfeld der IT-Sicherheit bzw. im Umgang mit Sicherheitsvorfällen darstellen. Wie bei jedem guten Konzert ist es aber nicht ein Instrument, das für den Wohlklang sorgt, sondern es ist das Zusammenspiel diverser Instrumentengruppen.

Eine Besonderheit jedoch gibt es bei Playbooks. Sie setzen nach der Erkennung bzw. Detektion eines Sicherheitsvorfalls auf und bilden somit oftmals die letzte Verteidigungslinie, bevor man sich mit Fragestellungen beschäftigen muss, die den Bereichen Backup & Restore also Themen wie baue ich die Umgebung wieder auf bzw. auf welcher Infrastruktur / Plattform baue ich neu auf, zuzuordnen sind.

Mit der stetig steigenden Zahl von Sicherheitsbedrohungen und -vorfällen steigt auch die Notwendigkeit bei Unternehmen und Organisationen, die eigenen Informationen zu schützen. Das PROFI-Beratungs- und Lösungsportfolio setzt hier an und schafft Transparenz hinsichtlich der gesetzlichen Rahmenbedingungen, branchenspezifischer Regularien und dem Reifegrad Ihrer IT-Security.

• Sie haben Fragen dazu, dann helfen Ihnen unsere Security-Experten gerne weiter: Kontakt

(ID:47710370)