Wie stellen wir nach einem Cybervorfall den Betrieb sicher wieder her?
In kontrollierter Reihenfolge, auf sauberer Grundlage und mit offenen Augen. Stellen Sie zuerst sicher, dass der Einstiegsweg des Angreifers geschlossen ist und seine Konten und Werkzeuge entfernt sind. Bauen Sie zuerst den Kern neu auf: Verzeichnis, Administratorkonten, Backup-System und Firewall, mit neuen Zugangsdaten. Stellen Sie dann die Systeme nach geschäftlicher Priorität wieder her, aus Backups, von denen Sie geprüft haben, dass sie vor dem Einbruch entstanden sind, und die vor der Nutzung gescannt wurden. Bringen Sie jedes System zunächst in einem überwachten Netzsegment zurück, bevor alle Zugriff erhalten, und lassen Sie die Benutzer bei neuen Passwörtern mit Multi-Faktor-Authentifizierung (MFA). Sagen Sie der Belegschaft, was sie melden soll, wenn etwas merkwürdig wirkt, und rechnen Sie damit, dass die Wiederherstellung länger dauert als der Angriff. Beobachten Sie das Netz wochenlang genau; NetSenX erkennt erneutes Beaconing, Scans und laterale Bewegung in jedem Plan, und genau so fällt eine unvollständige Bereinigung oft auf.
Weiterlesen
Verwandte Fragen
- Können wir während eines Cybervorfalls weiterarbeiten?
- Wie lange sollten wir das Netz nach einem Vorfall genau beobachten?
- Was ist ein Lessons-Learned-Review nach einem Vorfall?
- Was tun wir mit einem Sicherheitsalarm in der Nacht, wenn niemand Bereitschaft hat?
- Hätten wir einen Ransomware-Angriff am Wochenende kommen sehen können?