Wie dämmen wir einen Vorfall ein, ohne Beweise zu vernichten?
Trennen Sie das Netz, nicht den Strom, und kopieren Sie, bevor Sie aufräumen. Wenn Sie einen betroffenen Rechner am Switch-Port, an der Firewall oder über das Endpunktwerkzeug isolieren, kann der Angreifer ihn nicht mehr nutzen, während Arbeitsspeicher, laufende Prozesse und offene Verbindungen für die Untersuchung erhalten bleiben. Bevor Sie Rechner neu aufsetzen, Dateien löschen oder Konten entfernen, exportieren Sie die relevanten Logs, notieren Sie verdächtige Konten und Dateien und erstellen Sie, wo Fachleute dazu raten, ein Speicherabbild und ein Festplatten-Image. Sperren Sie die Ziele des Angreifers an der Firewall, halten Sie aber fest, welche und wann. Müssen Sie zwischen Tempo und Beweisen wählen, etwa weil sich die Verschlüsselung ausbreitet, gewinnt das Tempo: Erst den Schaden stoppen. Netzbeweise gehen am leichtesten verloren, weil viele Geräte nur eine kurze Historie speichern; NetSenX bewahrt seine Alarme mit Zeitpunkt, Hosts und Zielen für die Historie Ihres Plans auf.
Weiterlesen
Verwandte Fragen
- Sollen wir einen infizierten Rechner vom Netz trennen oder ausschalten?
- Was sollten wir während eines Cybervorfalls vermeiden?
- Wie finden wir Patient null, den ersten Rechner, den der Angreifer übernommen hat?
- Was ist ein forensisches Abbild, und wann brauchen wir eines?
- Was ist die Beweiskette (Chain of Custody) bei digitalen Beweisen?