Warum ist die Reaktion auf Vorfälle so wichtig?

Wenn Ihr Unternehmen von einem Cybervorfall betroffen ist, müssen Sie entscheiden, welche Systeme weiterlaufen können und welche Daten sicher wiederhergestellt werden können. Außerdem müssen Sie herausfinden, ob sensible Informationen offengelegt wurden und ob der Angreifer noch Zugriff hat. Diese Entscheidungen hängen von einem zuverlässigen Überblick über den Vorfall ab.

Die digitale Forensik und die Reaktion auf Sicherheitsvorfälle (DFIR) bieten das Fachwissen, um diese Sachverhalte zu ermitteln und entsprechend zu handeln.Erfahrene Ermittler und Einsatzkräfte helfen dabei, den Vorfall einzudämmen, die Wiederherstellung zu steuern und die Schwachstellen zu beheben, die den Angriff ermöglicht haben. Für Ihr Unternehmen kann dies weniger Betriebsunterbrechungen, fundiertere Entscheidungen und weniger Druck auf das interne teams bedeuten.

Aufbauend auf Ihren bestehenden Investitionen in die Sicherheit

Endpoint detection and response (EDR) bietet Einblick in die Geräteaktivitäten sowie Tools zur Untersuchung und Eindämmung von Bedrohungen. Managed detection and response (MDR) stellt Experten zur Verfügung, die im Rahmen eines vereinbarten Umfangs die Systeme überwachen, Vorfälle untersuchen und darauf reagieren.

Diese Fähigkeiten erweisen sich im Falle eines Vorfalls als äußerst wertvoll. Ein spezielles DFIR-Team knüpft an diese Arbeit an, wenn die Situation eine eingehendere forensische Untersuchung, die Koordination über eine größere Umgebung hinweg oder zusätzliche Unterstützung bei der Wiederherstellung erfordert. Die Ermittler tragen Beweismaterial von Endgeräten, Identitäten, Cloud-Diensten und anderen Systemen zusammen, um das Ausmaß des Angriffs zu ermitteln und die nächsten Schritte zu leiten.

Was DFIR aufdecken kann

Die folgenden Beispielszenarien verdeutlichen, warum diese umfassendere Untersuchung wichtig ist.

Die betrügerische Rechnung in einem vertrauenswürdigen Gespräch: Ein Finanzteam erhält im Rahmen eines bestehenden E-Mail-Austauschs mit einem Lieferanten neue Bankdaten. Die Zahlung erscheint zunächst legitim, bis der Lieferant anruft und nachfragt, wo die Zahlung bleibt. DFIR-Ermittler decken ein kompromittiertes Postfach auf, das der Angreifer genutzt hat, um Zahlungsgespräche zu überwachen. Sie identifizieren betroffene Konversationen und versteckte Weiterleitungsregeln und helfen dem Unternehmen so, seine Konten zu sichern, Bankanfragen zu beantworten und zu ermitteln, welche Informationen offengelegt wurden.

Der Ransomware-Vorfall, der bereits Tage vor dem Ausfall begann: EDR Erkennt Ransomware und isoliert den betroffenen Server. Die Untersuchung ergibt, dass zuvor ein kompromittiertes Administratorkonto genutzt wurde und zusätzlicher Zugriff auf einen Backup-Server bestand. Die DFIR-Einsatzkräfte identifizieren die verbleibenden Zugriffswege, bewerten die Hinweise auf Datendiebstahl und helfen dabei, festzustellen, welche Backups vertrauenswürdig sind. Im Rahmen der Wiederherstellung kann dann die umfassendere Kompromittierung behoben werden, wodurch das Risiko einer erneuten Verbindung der Systeme verringert wird, solange der Angreifer noch Zugriff hat.

Das heimliche Eindringen mit dem Ziel, an wertvolle Informationen zu gelangen: Der Geschäftsbetrieb läuft normal weiter, während ein Eindringling wochenlang Zugriff auf sensible Projektdateien hat. Eine ungewöhnliche Anmeldung löst eine Untersuchung aus, bei der Aktivitäten über verschiedene Arbeitsplätze und Cloud-Dienste hinweg miteinander in Verbindung gebracht werden. DFIR-Spezialisten rekonstruieren den zeitlichen Ablauf, decken die Mechanismen auf, mit denen der Zugriff aufrechterhalten wurde, und werten Hinweise auf Datenerfassung und -übertragung aus. Das Unternehmen erhält ein klareres Verständnis des Ausmaßes der Gefährdung und einen Plan zur Entfernung des Eindringlings.

Grundlagen für Entscheidungen, Berichterstattung und Sanierung

Selbst wenn ein Angreifer bereits Schaden angerichtet hat, kann eine wirksame Reaktion weitere Verluste verhindern und die nicht betroffenen Betriebsabläufe schützen. Erfahrene Fachkräfte helfen dabei, Maßnahmen entsprechend ihrer Auswirkungen auf den Geschäftsbetrieb zu priorisieren und gleichzeitig die für die Ermittlungen erforderlichen Beweismittel zu sichern.

Eine klare Berichterstattung bietet der Geschäftsleitung eine sachliche Entscheidungsgrundlage. Außerdem unterstützt sie Schadenfälle im Bereich der Cyberversicherung und aufsichtsrechtliche Meldungen anhand von dokumentierten Zeitabläufen, Erkenntnissen zu betroffenen Systemen und Daten sowie Aufzeichnungen über die ergriffenen Maßnahmen. Das Rechts- und Compliance- teams kann diese Erkenntnisse nutzen, um Meldepflichten zu bewerten und gegebenenfalls Berichte gemäß NIS2 und DSGVO zu erstellen. In den Berichten wird zwischen bestätigten Erkenntnissen und Einschätzungen unterschieden und auf verbleibende Unsicherheiten eingegangen.

Fachwissen, das Ihnen zur Verfügung steht, wann immer Sie es brauchen

Bei WithSecure, Unser Incident-Response-Team ist völlig technologieunabhängig.. Wir arbeiten hersteller-, plattform- und umgebungsübergreifend und kooperieren dabei mit Ihren bestehenden teams und Anbietern. Unsere Untersuchungen umfassen Business-E-Mail-Compromise, Ransomware, Cyberspionage und Insider-Bedrohungen. Oder sonstige Anforderungen.

Ein WithSecure DFIR-Berater bietet Rund um die Uhr, SLA-gestützter Zugang zu Spezialisten, wobei die Dienste auf Abruf zu vorab vereinbarten Tarifen zur Verfügung stehen und keine Vorabbuchung von Untersuchungstagen erforderlich ist. Ihr Unternehmen verfügt über einen festgelegten Kontakt- und Aktivierungsprozess, wodurch sich der Zeitaufwand für die Organisation von fachlicher Unterstützung während eines Vorfalls verringert. Interne „ teams “ erhalten zusätzliche Kapazitäten, wenn die Anforderungen an sie am größten sind.

Außerdem unterstützen wir Sie bei der Vorbereitung durch Maßgeschneiderte Tabletop-Übungen, Runbooks und Planüberprüfungen, die sich auf die Reaktion auf Vorfälle, das Krisenmanagement und die Wiederherstellung erstrecken. Jedes Projekt ist auf Ihre Umgebung, Ihre geschäftlichen Prioritäten und die Zuständigkeiten Ihres Teams zugeschnitten. Ihre Mitarbeiter können schwierige Entscheidungen einüben, Eskalationswege testen und Lücken schließen, bevor ein tatsächlicher Vorfall diese Vorkehrungen auf die Probe stellt.

Das Ergebnis ist eine Organisation, die besser darauf vorbereitet ist, einen Vorfall zu verstehen, fundierte Entscheidungen zu treffen und den Betrieb auf der Grundlage von Fakten sicher wiederherzustellen.

Erfahren Sie hier mehr über unsere Dienstleistungen im Bereich Incident Response: