Der IR-Lebenszyklus: Vorbereiten, Identifizieren, Eindämmen

Incident Response (IR) ist ein organisierter Ansatz zur Bearbeitung und Verwaltung von Sicherheitsvorfällen. Ziel ist es, Schäden zu minimieren, die Wiederherstellungszeit zu verkürzen und ein erneutes Auftreten zu verhindern. Ein dokumentierter IR-Plan, der bereits vor einem Vorfall vorliegt, ist entscheidend.

Wichtige IR-Frameworks:

• NIST SP 800-61: Vorbereitung → Erkennung/Analyse → Eindämmung/Beseitigung/Wiederherstellung → Nachbereitung
• SANS PICERL: Vorbereitung, Identifizierung, Eindämmung, Beseitigung, Wiederherstellung, Lessons Learned
• CISA: Weitgehend an NIST ausgerichtet

Maßnahmen zur Vorbereitung:

• IR-Richtlinien und -Verfahren dokumentieren
• Das IR-Team (CIRT) aufbauen und schulen
• Protokollierungs- und Erkennungstools bereitstellen
• Kommunikationskanäle und Eskalationswege einrichten
• Tabletop-Übungen und Simulationen durchführen
• Runbooks für häufige Vorfalltypen erstellen

Bereiten Sie sich vor, bevor Vorfälle eintreten:

• Zentralisiertes SIEM zur Protokollanalyse
• Forensische Workstation mit Schreibblockern und Imaging-Tools
• Kontakte zu Rechtsabteilung und Personalabteilung vorab festlegen
• IR-Retainer mit einem externen Forensikunternehmen
• Offline-Backups verifizieren und zugänglich aufbewahren

Bei der Identifizierung wird erkannt und bestätigt, dass ein Vorfall eingetreten ist. Quellen für die Erkennung:

• SIEM-Warnmeldungen und IDS/IPS-Ereignisse
• Meldungen von Benutzern („Mein Computer verhält sich merkwürdig“)
• Threat-Intelligence-Feeds
• Anomalieerkennung (ungewöhnliche Anmeldezeiten, Datenübertragungen)
• Benachrichtigungen durch Dritte (Strafverfolgungsbehörden, Partner)

Klassifizieren Sie Vorfälle nach ihrem Schweregrad, um die Reaktion zu priorisieren:

• P1/Kritisch: aktiver Sicherheitsverstoß, Datenexfiltration, Ransomware
• P2/Hoch: kompromittiertes privilegiertes Konto, erkannte Malware
• P3/Mittel: Richtlinienverstoß, verdächtige Aktivität
• P4/Niedrig: fehlgeschlagene Anmeldeversuche, geringfügige Fehlkonfiguration

Die Eindämmung stoppt die Ausbreitung des Schadens, ohne Beweise zu zerstören. Es gibt zwei Arten:

• Kurzfristige Eindämmung: betroffene Systeme isolieren (Netzwerkquarantäne)
• Langfristige Eindämmung: bösartige Artefakte entfernen und gleichzeitig den Betrieb aufrechterhalten

Maßnahmen zur Eindämmung:

• Netzwerkisolation: VLAN-Quarantäne, Firewall-Blockierungsregeln
• Kontosperrung: kompromittierte Zugangsdaten deaktivieren
• EDR-Kill: bösartige Prozesse über EDR beenden
• DNS-Sinkhole: C2-Domains umleiten, um Callback-Verbindungen zu verhindern
• Beweise VOR dem Löschen sichern

Verwenden Sie bei größeren Vorfällen eine klare Führungsstruktur:

• Incident Commander — Gesamtkoordination
• Technical Lead — Untersuchung und Behebung
• Communications Lead — interne und externe Benachrichtigungen
• Legal/Compliance — regulatorische Verpflichtungen

Eine effektive IR führt Eindämmung, Untersuchung und Kommunikation parallel durch – nicht nacheinander. Während das technische Team die Bedrohung eindämmt, bereitet die Rechtsabteilung Benachrichtigungen vor und informiert das Management die Stakeholder. Zeit ist entscheidend: Jede Stunde mit unkontrolliertem Zugriff verursacht weiteren Schaden.

Dokumentieren Sie während eines Vorfalls alles:

• Chronologie der Ereignisse mit Zeitstempeln
• Alle durchgeführten Maßnahmen (wer, was und wann)
• Gesammelte Beweise und Beweiskette
• Getroffene Entscheidungen und deren Begründung

Diese Dokumentation ist für Gerichtsverfahren und die Nachbesprechung nach dem Vorfall unerlässlich.

In welcher IR-Phase würden Sie ein infiziertes System vom Netzwerk isolieren, um die Ausbreitung von Malware zu stoppen?

Der IR-Lebenszyklus nach NIST umfasst Vorbereitung, Identifizierung, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung. Die Vorbereitung ist die wichtigste Phase: Bauen Sie Team, Tools und Runbooks auf, bevor Vorfälle eintreten. Bei der Identifizierung wird ein Vorfall bestätigt. Die Eindämmung stoppt die Ausbreitung und bewahrt gleichzeitig die Beweise. Dokumentieren Sie jede Maßnahme mit Zeitstempeln.