# Wie finden wir Patient null, den ersten Rechner, den der Angreifer übernommen hat?

Arbeiten Sie sich anhand der Zeitstempel von dem, was Sie wissen, rückwärts. Beginnen Sie bei dem Rechner, an dem der Vorfall bemerkt wurde, fragen Sie, welcher andere Host sich zuerst auf ungewöhnliche Weise mit ihm verbunden hat, und wiederholen Sie das für diesen Host. Endpunkt-Logs zeigen Anmeldungen und neue Programme, Verzeichnis-Logs, welches Konto von welchem Rechner aus genutzt wurde, Firewall- und VPN-Logs die ersten Verbindungen nach außen. Die frühesten regelmäßigen Meldungen an einen Server des Angreifers kennzeichnen oft den ersten infizierten Rechner. Patient null ist wichtig, weil er zeigt, wie der Angreifer hereinkam, und dieser Weg muss vor der Wiederherstellung geschlossen sein. Denken Sie daran, dass der erste gefundene Rechner oft nicht der erste infizierte ist. NetSenX-Alarme enthalten Zeiten, Hosts und Ziele, und ab dem Pro-Plan verknüpft die netzweite Korrelation Scans, neue Sitzungen und Beaconing über Hosts hinweg zu einer Geschichte, was diese Suche verkürzt.

FAQ: [Reaktion auf Vorfälle](https://netsenx.com/de/faq/incident) · https://netsenx.com/de/faq/how-to-find-patient-zero

## Weiterlesen

- https://netsenx.com/de/detect-ransomware-on-the-network
- https://netsenx.com/de/nis2-incident-reporting-deadlines

## Verwandte Fragen

- [Was ist ein forensisches Abbild, und wann brauchen wir eines?](https://netsenx.com/de/faq/what-is-a-forensic-image)
- [Was ist die Beweiskette (Chain of Custody) bei digitalen Beweisen?](https://netsenx.com/de/faq/what-is-chain-of-custody-for-digital-evidence)
- [Wie sichern wir Logs, bevor sie überschrieben werden?](https://netsenx.com/de/faq/how-to-preserve-logs-before-they-are-overwritten)
- [Was bedeutet Beseitigung (Eradication) in der Incident Response?](https://netsenx.com/de/faq/what-does-eradication-mean-in-incident-response)
- [Wie setzen wir nach einem Einbruch Passwörter sicher zurück?](https://netsenx.com/de/faq/how-to-reset-passwords-safely-after-a-breach)