Rechtzeitig auf Cyberangriffe vorbereiten Systematisches Security Incident Management in 6 Schritten

Anbieter zum Thema

OTRS AG

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Steigende Preise, stockende Lieferketten, der Krieg in der Ukraine, aber auch der Aufbruch Richtung erneuerbarer Energien, nachhaltiger Produktions- und Lebensmodelle sowie die Adressierung neuer Märkte sind nur einige Aspekte, die neue unternehmerische Risiken bringen. Die IT spielt in diesen volatilen Zeiten fast überall eine unternehmenskritische Rolle: zum einen, weil sie vielfach direkt das Business-Modell ermöglicht oder die zugrundeliegenden Geschäftsprozesse unterstützt, zum anderen, weil sie selbst angesichts der aktuell erhöhten Bedrohungslage vermehrt zum Ziel von Cyberangriffen werden könnte.

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) warnte angesichts des Kriegs in der Ukraine vor einer erhöhten Bedrohungslage und vermehrten Angriffen auf IT-Infrastrukturen in Deutschland und fordert nicht nur die Betreiber kritischer Infrastrukturen, sondern alle Organisationen und Unternehmen dazu auf, ihre Sicherheitsmaßnahmen zu überprüfen und anzupassen. Neben einer wachsenden Anzahl von Sicherheitsvorfällen in den verschiedensten gesellschaftlichen Bereichen sind beispielsweise vermehrt Angriffe auf die Software Supply Chain, auf die IT-Lieferkette zu beobachten – angefangen bei Log4Shell-Schwachstellen bis hin zu Zero-Day-Exploits bei einigen IT-Anbietern. Angreifer nehmen hier nicht direkt und gezielt bestimmte Unternehmen ins Visier, sondern erzeugen Schaden über die Verbreitung und Wiederverwendung vielfach genutzter Softwarekomponenten.

IT-Infrastruktur absichern

Unternehmen gegen Cyberangriffe abzusichern, ist keine einfache Aufgabe: Es braucht eine Reihe von Tools, die unterschiedliche Bereiche einer IT-Architektur absichern: Firewalls und Antiviren-Software beispielsweise sorgen für Abwehr, Monitoring-Tools helfen bei der Aufdeckung versteckter Angriffe, und Public Key Infrastrukturen ermöglichen den verschlüsselten Austausch von Daten. Insgesamt kann der Schutz sensibler Daten und IT-Systeme nur gelingen, wenn eine passende Kombination aus Tools und Verfahren sowie menschlicher Aufmerksamkeit gefunden wird.

Sicherheitsprozesse nicht vergessen

Die Abwehr ist das eine. Was aber tun, wenn es trotz der eingesetzten Tools und Maßnahmen zu einem Security-Vorfall kommt? Deshalb gilt es, den Fokus nicht allein auf das Schwachstellenmanagement zu legen, sondern auch das notwendige Vorgehen bei einem Sicherheitsvorfall vorzubereiten und durch entsprechende Systeme zu unterstützen. Dann können Unternehmen bei Cyberangriffen schnell handeln, vermeiden im Krisenfall zusätzliches Chaos und halten den entstehenden Schaden so gering wie möglich. Systematisches Security Incident Management bereitet Unternehmen und ihre Mitarbeitenden bestmöglich auf den Umgang mit Sicherheitsvorfällen vor.

Security Incident Response in 6 Phasen

Automatisierte Prozesse helfen im Security Incident Management, um optimal auf Sicherheitsvorfälle zu reagieren. Basis für den Umgang mit sicherheitsrelevanten Ereignissen ist die Erstellung eines Planes, in dem Aufgaben und Zuständigkeiten festgelegt werden. In einem Incident Response Plan werden alle nötigen Aktionen definiert und die Verantwortlichkeiten klar festgelegt – folgende Phasen werden dafür empfohlen:

Phase 1: Preparation – Incident Management Tools und Prozesse bereitstellen

Angelehnt an bewährte Best Practices werden mit einem entsprechenden Tool alle wichtigen Phasen definiert. So können bei einem Sicherheitsvorvall die zu einer Reaktion nötigen Informationen in Kürze erfasst werden. Die Kommunikation zwischen allen involvierten Parteien sollte vorbereitet und Kontaktinformationen aufbereitet werden.

Phase 2: Analysis & Identification – Entscheiden, ob ein Sicherheitsvorfall vorliegt

Die Analyse von Daten aus Log-Management-Systemen, IDS/IPS, Threatsharing-Systemen sowie von Firewall-Protokollen und Netzwerkaktivitäten hilft bei der Einordnung von Sicherheitsvorfällen. Sobald eine Bedrohung identifiziert wurde, sollte sie der festgelegten Richtlinie entsprechend dokumentiert und kommuniziert werden.

Phase 3: Containment – Ausbreitung eindämmen und weitere Schäden verhindern

Die Entscheidung, welche Strategie angewendet wird, spielt dabei die größte Rolle. Es stellt sich vor allem um die Frage, welche Sicherheitslücke ein Eindringen ermöglicht hat. Schnelle Schadensbegrenzung, wie die Isolation eines Netzwerksegmentes ist bei vielen Vorfällen der erste Schritt, danach werden oft forensische Analysen zur Evaluierung bemüht.

Phase 4: Eradication – Sicherheitslücken schließen, Schadsoftware beseitigen

Ist die potenzielle Bedrohung eingedämmt, muss die Ursache des Sicherheitsvorfalls gefunden werden. Dafür sollte alle Malware sicher entfernt, die Systeme gepatcht, Updates eingespielt und gegebenenfalls die Software aktualisiert werden. Die Systeme sollten also auf das aktuellste Patch Level gebracht und Passwörter vergeben werden, die alle Sicherheitsanforderungen erfüllen.

Phase 5: Recovery – Systeme und Geräte wieder aktivieren

Um in den normalen Systembetrieb zurückzukehren, sollte stetig überprüft werden, ob alle Systeme den Erwartungen entsprechend laufen. Das wird durch Testen und Monitoring über einen längeren Zeitraum sichergestellt. Das Incident Response Team legt in dieser Phase fest, wann der Betrieb wiederhergestellt wird und ob infizierte Systeme vollständig gesäubert wurden.

Phase 6: Lessons Learned – Klären, was gut lief und was nicht

Nach Phase 5 sollte ein Wrap-up-Meeting mit allen Beteiligten stattfinden. Hier sollten offene Fragen geklärt und der Sicherheitsvorfall final abgeschlossen werden. Mit den Erkenntnissen aus diesem Austausch lassen sich Verbesserungen für künftige Vorfälle erkennen und festlegen.

Security Incident Management Software unterstützt meist eine solche Orchestrierung und Automatisierung von Sicherheitsvorfällen. Sie automatisiert von der Warnung bis zur Reaktion alle Prozesse und sorgt dafür, dass alle beteiligten Personen, Tools und Dienste für ein schnelles Incident Management im Unternehmen zusammenwirken können.

Über den Autor: Jens Bothe ist Vice President Information Security bei der OTRS AG.

(ID:48733399)