Wie stoppen wir einen Angreifer, der schon in unserem Netz ist?

Erst eindämmen, dann entfernen, in einem abgestimmten Zug. Finden Sie unauffällig so viel wie möglich heraus: welche Hosts und Konten beteiligt sind, wie der Angreifer hinein- und hinausgelangt und wo seine Werkzeuge liegen. Handeln Sie dann gemeinsam: betroffene Hosts am Switch oder an der Firewall isolieren, ihre externen Ziele sperren, kompromittierte Konten von einem sauberen Gerät aus deaktivieren oder zurücksetzen und den Einstiegsweg schließen, etwa ein VPN-Konto oder einen exponierten Dienst. Stückweises Vorgehen warnt den Angreifer, der dann auf andere Hosts ausweicht oder Systeme zu beschädigen beginnt. Holen Sie eine Incident-Response-Firma hinzu, falls noch nicht geschehen, und führen Sie ein Protokoll. Bauen Sie nach der Eindämmung betroffene Rechner neu auf und beobachten Sie das Netz wochenlang genau. NetSenX entfernt keine Angreifer; es zeigt vom Netz aus, welche Hosts beteiligt sind und wohin sie sich verbinden, also das, was ein Eindämmungsplan braucht, und erkennt danach erneute Aktivität.

← Alle 69 Fragen zu Angriffstechniken erklärtAlle Themen