Sollen wir einen infizierten Rechner vom Netz trennen oder ausschalten?
Trennen Sie ihn vom Netz, lassen Sie ihn aber eingeschaltet, sofern nichts dagegen spricht. Kabel ziehen und WLAN abschalten nimmt dem Angreifer die Kontrolle und stoppt die Ausbreitung, während der Arbeitsspeicher Beweise behält, die beim Herunterfahren verschwinden: laufende Programme, Netzverbindungen, manchmal Schlüssel, die bei der Wiederherstellung helfen. Ausschalten ist richtig, wenn Sie den Rechner anders nicht isolieren können und der Schaden sich schnell ausbreitet, oder wenn Fachleute darum bitten. Melden Sie sich nicht als Administrator an, um sich umzusehen, starten Sie keine Bereinigungswerkzeuge und keinen Neustart, bevor Sie beraten wurden, denn jeder Schritt verändert die Beweise. Notieren Sie Uhrzeit und Vorgehen. Ist der Rechner ein Server, von dem andere abhängen, isolieren Sie ihn am Switch oder an der Firewall, statt wahllos Kabel zu ziehen. Ein Netzwerksensor wie NetSenX bewahrt auf, was der Rechner tat, bevor Sie ihn getrennt haben.
Weiterlesen
Verwandte Fragen
- Was sollten wir während eines Cybervorfalls vermeiden?
- Wie finden wir Patient null, den ersten Rechner, den der Angreifer übernommen hat?
- Was ist ein forensisches Abbild, und wann brauchen wir eines?
- Was ist die Beweiskette (Chain of Custody) bei digitalen Beweisen?
- Wie sichern wir Logs, bevor sie überschrieben werden?