Beseitigung, Wiederherstellung und Lessons Learned

Die Beseitigung entfernt die Bedrohung von allen betroffenen Systemen. Nachdem die Eindämmung den Umfang des Vorfalls bestätigt hat, stellt die Beseitigung sicher, dass keine Persistenzmechanismen zurückbleiben – weder Malware und Backdoors noch kompromittierte Zugangsdaten oder unbefugte Konten.

Eine vollständige Beseitigung umfasst:

• Alle in der Untersuchung identifizierten Schadprogramme und Implantate entfernen
• Vom Angreifer angelegte unbefugte Benutzerkonten und SSH-Schlüssel löschen
• Vom Angreifer hinzugefügte Cron-Jobs, Registry-Run-Keys und geplante Tasks entfernen
• Die Schwachstelle schließen, die den ursprünglichen Zugriff ermöglicht hat
• Alle kompromittierten Zugangsdaten zurücksetzen
• Schwer kompromittierte Systeme aus vertrauenswürdigen Images neu aufsetzen

Bei schwer kompromittierten Systemen ist das Neuaufsetzen aus einem sauberen Image zuverlässiger, als zu versuchen, alle Malware-Artefakte zu entfernen. Rootkits und persistente Implantate können Bereinigungsversuche überstehen. Bei kritischen Systemen ist das Risiko, etwas zu übersehen, zu hoch.

Überprüfen Sie nach der Bereinigung:

• Erneuten Scan mit mehreren AV-/EDR-Tools durchführen
• Persistenzmechanismen überprüfen (Autoruns, Cron, Dienste)
• Auf neue Benutzerkonten oder SSH-Schlüssel prüfen
• Netzwerkverkehr auf C2-Callback-Verbindungen überwachen
• Integritätsprüfungen für wichtige Binärdateien durchführen

Die Wiederherstellung führt Systeme sicher in den normalen Betrieb zurück. Eine überstürzte Wiederherstellung ohne bestätigte Beseitigung birgt das Risiko einer erneuten Infektion. Wichtige Maßnahmen:

• Bei Bedarf aus verifizierten sauberen Backups wiederherstellen
• Systeme schrittweise mit verstärkter Überwachung wieder online bringen
• Systemintegrität und ordnungsgemäßen Betrieb überprüfen
• Auf Anzeichen für die Rückkehr des Angreifers achten

Wiederherstellung aus Backups:

• Integrität des Backups überprüfen (Hashvergleich)
• In einer sauberen Umgebung wiederherstellen (nicht in derselben kompromittierten Umgebung)
• Wiederhergestellte Systeme testen, bevor sie in den Produktivbetrieb zurückkehren
• Bei Ransomware sicherstellen, dass die Malware vor der Wiederherstellung der Dateien entfernt wurde

Erhöhen Sie nach der Wiederherstellung die Überwachungsintensität:

• Mindestens 30 Tage lang erweiterte Protokollierung auf wiederhergestellten Systemen
• Warnmeldung bei Aktivitäten, die den TTPs des Angreifers entsprechen
• Netzwerkflüsse auf ungewöhnliche Verbindungen überprüfen
• Zugriffskontrollen und Berechtigungen erneut validieren

Die Nachbereitung des Vorfalls (Lessons Learned) sollte innerhalb von ein bis zwei Wochen stattfinden. Teilnehmer: IR-Team, Verantwortliche der betroffenen Systeme und Management. Ziel: die Grundursache verstehen, Schutzmaßnahmen verbessern und Verfahren aktualisieren.

Die RCA stellt die Frage: Warum ist das passiert?

• Was war der ursprüngliche Angriffsvektor?
• Welche Kontrollen sind fehlgeschlagen oder haben gefehlt?
• Wie lange war der Angreifer vor der Entdeckung präsent?
• Wie hat sich der Angreifer lateral bewegt?
• Auf welche Daten wurde zugegriffen oder welche Daten wurden exfiltriert?

Wichtige IR-Metriken, die erfasst werden sollten:

• MTTD — durchschnittliche Zeit bis zur Erkennung
• MTTR — durchschnittliche Zeit bis zur Reaktion/Wiederherstellung
• MTTC — durchschnittliche Zeit bis zur Eindämmung
• Anzahl der betroffenen Systeme
• Umfang der Datenoffenlegung

Ergebnisse aus den Lessons Learned:

• IR-Playbooks mit neu beobachteten TTPs aktualisieren
• Fehlende Erkennungsfunktionen bereitstellen
• Identifizierte Schwachstellen schließen
• Schulungen zu den festgestellten Lücken planen
• Kommunikationsvorlagen aktualisieren

Warum wird ein schwer kompromittiertes System häufig lieber aus einem sauberen Image neu aufgesetzt, als es zu bereinigen?

Die Beseitigung entfernt alle Artefakte des Angreifers: Malware, Backdoors, unbefugte Konten und C2-Persistenz. Bei schwer kompromittierten Systemen sollten Sie diese neu aufsetzen, statt sie zu bereinigen. Die Wiederherstellung führt den Betrieb aus verifizierten sauberen Backups zurück und erfolgt mit verstärkter Überwachung. Die Nachbereitung des Vorfalls ermittelt die Grundursache, misst MTTD/MTTR und verbessert die zukünftige Reaktion durch aktualisierte Playbooks und neue Erkennungsfunktionen.