Eindämmung, Beseitigung und Wiederherstellung

Sobald ein Vorfall bestätigt und sein Umfang ermittelt wurde, durchläuft die Reaktion drei aufeinanderfolgende Phasen: Eindämmung (die Ausbreitung des Schadens stoppen), Beseitigung (alle Zugänge und Verankerungen des Angreifers aus der Umgebung entfernen) und Wiederherstellung (Systeme in den normalen Betrieb zurückführen und ihre Integrität überprüfen). Jede Phase hat eigene Ziele und Kriterien zur Überprüfung. Der Übergang zur Wiederherstellung, bevor die Beseitigung abgeschlossen ist, ist ein häufiger Fehler, der zu einer erneuten Infektion durch verbliebene Persistenzmechanismen des Angreifers führt.

Die Eindämmung erfolgt in zwei Phasen. Die kurzfristige Eindämmung sorgt für eine sofortige Stabilisierung – betroffene Systeme werden vom Netzwerk isoliert, IP-Adressen des Angreifers an der Firewall blockiert und kompromittierte Konten deaktiviert –, um den aktiven Schaden zu stoppen. Die langfristige Eindämmung führt dauerhaftere Kontrollen ein, die den weiteren Betrieb der Organisation ermöglichen, während Untersuchung und Beseitigung fortgesetzt werden – beispielsweise durch die Segmentierung der kompromittierten Netzwerkzone, anstatt sie vollständig außer Betrieb zu nehmen.

Ein grundlegendes Prinzip lautet: Bewahren Sie Beweise, bevor Sie Abhilfemaßnahmen durchführen. Analysten sollten flüchtige Daten (Speicherabbild, laufende Prozesse, aktive Netzwerkverbindungen) und forensische Datenträgerabbilder erfassen, BEVOR sie Maßnahmen ergreifen, die den Systemzustand verändern würden. Ein Neustart des Systems, die Ausführung von Tools zur Malware-Entfernung oder eine Neuinstallation ohne vorherige Beweiserfassung zerstört die forensische Grundlage, die zum Verständnis des zeitlichen Ablaufs des Angriffs erforderlich ist, und kann außerdem rechtlich relevante Beweise vernichten, die für die strafrechtliche Verfolgung der Angreifer oder zur Erfüllung gesetzlicher Meldepflichten benötigt werden.

Die Beseitigung entfernt sämtliche Spuren der Angreifer aus der Umgebung. Das ist komplexer, als einfach nur Malware-Dateien zu löschen. Angreifer, die ihre Präsenz dauerhaft verankern, richten mehrere Zugänge ein: geplante Tasks, Run-Schlüssel in der Registry, neue Benutzerkonten, Webshells auf Servern, veränderte Firmware und nicht autorisierte OAuth-App-Einwilligungen. Eine vollständige Checkliste zur Beseitigung muss jede vom Angreifer verwendete Technik berücksichtigen, basierend auf den Erkenntnissen aus der Untersuchungsphase. Eine unvollständige Beseitigung führt zu einer erneuten Infektion – häufig innerhalb weniger Stunden, nachdem Systeme wieder in Produktion genommen wurden.

Bei Endgeräten, die durch hochentwickelte Malware oder Rootkits kompromittiert wurden, wird häufig das Neuaufsetzen (Löschen und Neuinstallieren anhand eines bekannten sauberen Images) dem Versuch vorgezogen, das infizierte System zu bereinigen. Rootkits können sich an Orten verbergen, die von Antivirensoftware nicht erreicht werden, und hochentwickelte Malware kann Systembinärdateien verändert haben, die nur schwer zu identifizieren und wiederherzustellen sind. Die Entscheidung zwischen Bereinigung und Neuaufsetzen hängt von folgenden Faktoren ab: der Komplexität der Malware, der Sensibilität der auf dem System gespeicherten Daten und der Verfügbarkeit bekanntermaßen sauberer Images für eine schnelle erneute Bereitstellung.

Die Beseitigung muss das Schließen der Schwachstelle für den Erstzugriff umfassen – andernfalls kann derselbe Angreifer (oder ein anderer) durch dieselbe Tür erneut eindringen. Häufige Schwachstellen für den Erstzugriff sind: nicht gepatchte Software-CVEs, die über internetseitig erreichbare Dienste ausgenutzt werden, schwache oder fehlende MFA bei Fernzugriffssystemen (VPN, RDP), Phishing (erfordert Schulungen zum Sicherheitsbewusstsein und Verbesserungen bei der E-Mail-Filterung) sowie eine Kompromittierung der Lieferkette (erfordert eine Sicherheitsüberprüfung des Anbieters). Führen Sie Patches ein und härten Sie die Systeme, bevor Sie sie wieder in Produktion nehmen.

Die Wiederherstellung führt betroffene Systeme aus einem bekannten guten Zustand in den normalen Betrieb zurück. Zu den Wiederherstellungsschritten gehören: das Wiederherstellen aus sauberen Backups (wobei die Integrität des Backups vor der Wiederherstellung überprüft wird), das Neuaufbauen von Systemen anhand von Golden Images, das Neukonfigurieren von Netzwerkkontrollen (wobei vorübergehende Einschränkungen der Eindämmung entfernt werden), das erneute Aktivieren deaktivierter Konten (mit Zurücksetzen der Passwörter) und die schrittweise Rückführung der Systeme in die Produktion statt einer gleichzeitigen Rückführung aller Systeme. Die schrittweise Rückführung ermöglicht es, in jeder Phase auf Anzeichen einer erneuten Infektion zu achten.

Ransomware zielt gezielt auf Backup-Systeme ab, um eine Wiederherstellung ohne Lösegeldzahlung zu verhindern. Eine wirksame Backup-Absicherung erfordert: Offsite-Backups, die nicht mit dem Hauptnetzwerk verbunden sind, unveränderliche Backups (Object Lock, WORM-Speicher), die weder verschlüsselt noch gelöscht werden können, Air-Gapped-Backups für kritische Systeme und getestete Wiederherstellungsverfahren. Die Integrität von Backups sollte regelmäßig überprüft werden – ein Backup, das sich nicht wiederherstellen lässt, ist kein Backup. Organisationen sollten das Datum des letzten sauberen Backups kennen, um den Wiederherstellungspunkt zu bestimmen.

Nach der Beseitigung und Wiederherstellung sollte die verstärkte Überwachung über einen längeren Zeitraum (typischerweise 30–90 Tage) fortgesetzt werden. Einige hochentwickelte Angreifer platzieren sekundäre Hintertüren, die aktiviert werden, nachdem ihr primärer Zugriff erkannt und entfernt wurde. Zur verstärkten Überwachung gehören: eine höhere Empfindlichkeit der SIEM-Warnungen für bekannte IoCs des Angreifers, die Überwachung von DNS-Abfragen an Domains, die der Infrastruktur des Angreifers ähneln, die Beobachtung der Kommunikation mit allen während des Vorfalls festgestellten IP-Adressen sowie das Auslösen von Warnungen bei Aktivitäten neu erstellter Konten.

Das Kommunikationsmanagement während eines Vorfalls ist ebenso wichtig wie die technische Reaktion. Die interne Kommunikation sorgt für eine abgestimmte Vorgehensweise in der Organisation und verhindert Gerüchte. Die externe Kommunikation mit Kunden, Partnern, Aufsichtsbehörden und gegebenenfalls den Medien muss sorgfältig kontrolliert werden – voreilige, ungenaue oder rechtlich problematische Offenlegungen führen zu einer zusätzlichen Haftung. Alle externen Mitteilungen sollten vor ihrer Veröffentlichung von der Rechtsberatung geprüft werden. Gesetzliche Meldungen (72-Stunden-Frist nach DSGVO, 60-Tage-Frist nach HIPAA) haben strikte Fristen, die ab dem Datum der Entdeckung und nicht ab dem Datum der Bestätigung laufen.

Ein Vorfall ist nicht abgeschlossen, wenn die unmittelbare Krise vorüber ist, sondern wenn alle Kriterien zur Überprüfung erfüllt sind: Alle bekannten Zugänge und Verankerungen des Angreifers wurden entfernt und überprüft, die Schwachstelle für den Erstzugriff wurde gepatcht, alle betroffenen Systeme wurden wiederhergestellt und als sauber verifiziert, eine verstärkte Überwachung ist eingerichtet, erforderliche gesetzliche Meldungen wurden versendet und eine Nachbesprechung des Vorfalls wurde angesetzt. Ein vorzeitiger Abschluss des Vorfalls ist ein häufiger Fehler, durch den sich eine unauffällige Persistenz des Angreifers zu einem zweiten Vorfall entwickeln kann.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Eindämmung stoppt aktive Schäden durch Isolierung, Firewall-Blockierungen und die Deaktivierung von Konten, die Beseitigung erfordert das Entfernen ALLER Zugänge und Verankerungen des Angreifers einschließlich Persistenzmechanismen, nicht nur von Malware-Dateien, und die Wiederherstellung muss Backups verwenden, die vor dem Datum der Kompromittierung erstellt wurden, und eine verstärkte Überwachung über mindestens 30 Tage umfassen. Als Nächstes befassen wir uns mit der Nachbesprechung des Vorfalls und den daraus gewonnenen Erkenntnissen.