Reaktionsmaßnahmen

Eine Bedrohung zu erkennen, ist nur die halbe Aufgabe. Reaktion bezeichnet die Maßnahmen, die Sie ergreifen, um einen Angriff zu stoppen und zu beseitigen.

Eine schnelle Reaktion begrenzt den Schaden und verhindert die Ausbreitung.

Durch die Isolierung (Netzwerk-Eindämmung) wird ein infizierter Endpunkt vom Netzwerk getrennt.

Das Gerät kann weiterhin mit der EDR-Konsole kommunizieren, damit es untersucht werden kann. Es kann jedoch keine Schadsoftware verbreiten oder Daten abfließen lassen.

Analysten können einen schädlichen Prozess aus der Ferne beenden.

Das Beenden des Prozesses stoppt die aktuelle Aktivität des Angreifers, etwa Verschlüsselung oder Datendiebstahl, während die gründlichere Bereinigung fortgesetzt wird.

Bei der Quarantäne wird eine verdächtige Datei an einen sicheren, gesperrten Ort verschoben.

Sie kann nicht mehr ausgeführt werden, bleibt aber als Beweismittel erhalten und kann wiederhergestellt werden, falls sie sich als harmlos herausstellt.

Sobald eine Bedrohung verstanden ist, blockieren Teams ihre Kompromittierungsindikatoren (IOCs) überall.

• Hashes bösartiger Dateien
• Schädliche IP-Adressen und Domains

Dadurch werden alle anderen Endpunkte gleichzeitig geschützt.

Einige Maßnahmen können automatisch ausgeführt werden, sobald eine Warnmeldung ausgelöst wird.

Beispielsweise kann ein Endpunkt sich sofort selbst isolieren, sobald Ransomware-Verhalten erkannt wird, noch bevor ein Mensch die Warnmeldung gelesen hat.

Vor der Bereinigung sammeln Analysten Beweismittel aus der Ferne.

• Listen der laufenden Prozesse erfassen
• Verdächtige Dateien zur Analyse abrufen
• Eine Remote-Shell auf dem Endpunkt öffnen

So entsteht ein klares Bild des Angriffs.

Remediation entfernt die Bedrohung und macht ihre Änderungen rückgängig.

• Bösartige Dateien löschen
• Persistenz-Einträge entfernen
• Schädliche Konfigurationsänderungen rückgängig machen

Einige EDR-Tools können von Schadsoftware vorgenommene Änderungen per Rollback rückgängig machen, etwa von Ransomware verschlüsselte Dateien wiederherstellen.

Wenn ein Rollback nicht möglich ist, wird das Gerät aus einem sauberen Image neu erstellt.

Die Reaktion ist Teil eines umfassenderen Zyklus:

• Bedrohung identifizieren
• Bedrohung eindämmen (Isolierung)
• Bedrohung beseitigen (Remediation)
• System wiederherstellen
• Aus dem Vorfall lernen

Nach einem Vorfall überprüfen Teams, was passiert ist.

Sie dokumentieren, wie der Angreifer eingedrungen ist, und aktualisieren Erkennungen und Richtlinien, damit derselbe Angriff nicht erneut erfolgreich sein kann.

Testen Sie Ihr Verständnis der Reaktionsmaßnahmen.

Zu den EDR-Reaktionsmaßnahmen gehören:

• Host-Isolierung, Beenden von Prozessen und Verschieben von Dateien in Quarantäne
• Blockieren von IOCs und automatisierte Eindämmung
• Remediation, Rollback und Lessons Learned

Diese Schritte folgen dem Zyklus aus Identifizieren, Eindämmen, Beseitigen und Wiederherstellen.