Wie sichern wir Logs, bevor sie überschrieben werden?
Exportieren Sie sie, sobald ein Vorfall vermutet wird, bevor Sie irgendetwas anderes ändern. Viele Geräte speichern Logs nur einige Tage oder bis zu einer Größengrenze: Firewalls, VPN-Gateways, Switches und manche Cloud-Dienste überschreiben zuerst die ältesten Einträge, und ein aktiver Angreifer versucht womöglich, sie zu löschen. Legen Sie vorab eine Liste der wichtigen Logs an, typischerweise Firewall, VPN, Verzeichnis und Authentifizierung, E-Mail, Endpunkt-Konsole und DNS, mit dem Exportweg für jedes. Kopieren Sie sie im Vorfall auf Speicher außerhalb der betroffenen Systeme, notieren Sie Uhrzeit und Hash jeder Datei und erhöhen Sie, wenn möglich, die Aufbewahrungsdauer auf den Geräten. Fragen Sie Ihre Cloud-Anbieter, wie weit ihre Audit-Logs zurückreichen. NetSenX speichert seine Alarme im eigenen Dienst für die Alarmhistorie Ihres Plans, 30 Tage im Free-Plan und länger in bezahlten Plänen, egal was mit Ihren Geräten geschieht.
Weiterlesen
Verwandte Fragen
- Was bedeutet Beseitigung (Eradication) in der Incident Response?
- Wie setzen wir nach einem Einbruch Passwörter sicher zurück?
- Woher wissen wir, dass der Angreifer wirklich weg ist?
- Können wir unsere Rechner nach einem Ransomware-Angriff weiter nutzen?
- Wie stellen wir nach einem Cybervorfall den Betrieb sicher wieder her?