Was bedeutet Beseitigung (Eradication) in der Incident Response?
Beseitigung heißt, die Präsenz des Angreifers vollständig zu entfernen, bevor Sie Systeme wieder in Betrieb nehmen. Dazu gehört, Schadsoftware und Werkzeuge zu löschen, den Einstiegsweg zu schließen, vom Angreifer angelegte Konten, geplante Aufgaben und Fernzugriffssoftware zu entfernen, alle möglicherweise betroffenen Zugangsdaten zurückzusetzen und die ausgenutzten Schwachstellen zu patchen. In der Praxis ist es oft verlässlicher, betroffene Rechner aus sauberen Images neu aufzubauen, als sie zu bereinigen, weil sich schwer beweisen lässt, dass jede Änderung gefunden wurde. Beseitigung scheitert, wenn sie unvollständig ist: Angreifer mit einem verbliebenen Stützpunkt kommen zurück, manchmal Wochen später. Sie sollte auf Grundlage der Beweise aus Ihrer Untersuchung geplant und nicht geraten werden. Ob sie gelungen ist, zeigt der Blick auf das Netz danach: NetSenX erkennt erneutes Beaconing zu bekannten oder neuen externen Servern und neue laterale Sitzungen, in jedem Plan.
Weiterlesen
Verwandte Fragen
- Wie setzen wir nach einem Einbruch Passwörter sicher zurück?
- Woher wissen wir, dass der Angreifer wirklich weg ist?
- Können wir unsere Rechner nach einem Ransomware-Angriff weiter nutzen?
- Wie stellen wir nach einem Cybervorfall den Betrieb sicher wieder her?
- Können wir während eines Cybervorfalls weiterarbeiten?