NTT Com Security empfiehlt fünf Schritte bei der Reaktion auf Incidents
Klar ist, dass die Abwehr eines Angriffs nicht erst beim Sicherheitsvorfall selbst beginnen sollte. Im Vorfeld sollte eine Abwehrstrategie etabliert sein. Eine solche Incident-Response-Strategie muss detaillierte Vorgehensweisen und Maßnahmen bei der Behandlung von Sicherheitsvorfällen beinhalten. Konkret sollten hier beispielsweise Verantwortlichkeiten festgelegt, Aufgaben definiert, Schadensfälle klassifiziert oder Kommunikationsmaßnahmen – auch im Hinblick auf die zentralen Ansprechstellen Cybercrime der Bundesländer oder Strafverfolgungsbehörden – geregelt werden. Doch welche Maßnahmen muss ein Unternehmen im Ernstfall, sprich beim Incident, konkret ergreifen? Sicherheitsexperte NTT Com Security empfiehlt die Einhaltung von folgenden fünf Handlungsschritten:
1. Identifizierung
Zunächst müssen Verantwortliche feststellen, um welchen Vorfall es sich handelt. Zur Analyse können zum Beispiel Log-Files – auch aus SIEM (Security Information and Event Management)-Systemen – herangezogen werden. Zudem müssen sie ermitteln, welche Zielsysteme betroffen sind, welchen aktuellen Status der Angriff hat und inwieweit bereits das gesamte Unternehmensnetzwerk kompromittiert ist. Neben der Erkennung und Erfassung von Sicherheitsvorfällen beinhaltet dieser Schritt auch die Bewertung der Attacke und ihrer Relevanz für unternehmenskritische Systeme und Daten. Nur auf Basis einer solchen detaillierten Analyse kann ein Unternehmen zielgerichtete Abwehrmaßnahmen ergreifen.
2. Stoppen des Angriffs
Der zweite Schritt umfasst das Stoppen beziehungsweise Eindämmen der Attacke. Abhängig vom Angriffsszenario sind hier unterschiedliche Maßnahmen denkbar, vom Abschalten einzelner Systeme über das Abtrennen bestimmter Netzwerkbereiche bis hin zu einem vollständigen Kappen aller Internetverbindungen. Um weitere Angriffe abzuwehren, ist zudem oft ein sofortiges Patchen der Systeme angezeigt. Natürlich muss die IT bei der Eindämmung der Auswirkungen von Sicherheitsvorfällen auch immer die Business Continuity berücksichtigen – gemäß dem Motto „soviel abschalten wie möglich.“
3. Wiederherstellung
Der dritte Schritt sieht die Beseitigung aller Schäden vor. Dabei muss die IT alle Systeme, die potenziell betroffen sind, detailliert untersuchen. Das betrifft Betriebssysteme, Applikationen und Konfigurationsdateien ebenso wie alle Anwenderdateien. Zur Überprüfung eignen sich nur Sicherheitstools, die auf neuestem Stand sind wie aktuelle Antivirenlösungen. Bei Datenverlust muss die IT entsprechende Recovery-Maßnahmen ergreifen.
4. Aufnahme des Normalbetriebs
Der nächste Schritt umfasst die Wiederaufnahme des Normalbetriebs, beispielsweise mit der sukzessiven Zuschaltung aller abgeschalteten Subsysteme. Vor der Wiederinbetriebnahme müssen dann auf jeden Fall umfassende Testläufe erfolgen, in denen der reibungslose Systembetrieb überprüft wird – zum Beispiel mittels Anwendungsfunktionstests.
5. Dokumentation und Maßnahmeneinleitung
Der letzte Schritt, den nach Erfahrungswerten von NTT Com Security die meisten Unternehmen vernachlässigen, betrifft die Aspekte Dokumentation beziehungsweise Reporting und Maßnahmeneinleitung. Ein Report muss eine klare Bestandsaufnahme des vergangenen Incidents enthalten sowie eine detaillierte Bewertung der ergriffenen Aktivitäten. So sollte zum Beispiel konkret spezifiziert werden, was gut und was weniger gut gelaufen ist, welche Kosten entstanden sind und in welchen Bereichen sich ein deutlicher Handlungsbedarf herauskristallisiert hat. Auf dieser Basis kann ein Unternehmen dann entsprechende Veränderungen initiieren und Maßnahmen einleiten, um einen gleichartig gelagerten Sicherheitsvorfall künftig zuverlässig auszuschließen.
„Ein etabliertes Incident-Response-Verfahren ist angesichts der aktuellen Sicherheitsbedrohungen für ein Unternehmen heute unerlässlich. Doch auch wenn es vorhanden ist, zeigt unsere Erfahrung, dass die Notfallpläne nicht regelmäßig überprüft und getestet werden“, betont Patrick Schraut, Director Consulting & GRC bei NTT Com Security in Ismaning. „Das führt dazu, dass im Gefahrenfall oft Unsicherheit herrscht und eine verzögerte Reaktion einen ungewollten Datenabfluss ermöglicht. Mit unseren fünf Schritten beim Incident-Handling wollen wir Unternehmen eine Hilfestellung geben, wie sie im Schadenfall agieren sollten, um aktuelle und künftige Auswirkungen soweit wie möglich zu minimieren.“
Über NTT Com Security
NTT Com Security ist ein weltweit agierendes Unternehmen für Informationssicherheit und Risikomanagement. Das Portfolio des Unternehmens reicht von Managed Security Services über Infrastrukturlösungen bis zu Dienstleistungen wie Beratung oder Technologieintegration. Das gesamte Lösungs- und Serviceangebot von NTT Com Security basiert auf einem durchgängigen Cyber-Defense-Ansatz. Kernelemente sind dabei die vier zentralen Eckpfeiler Prävention, Erkennung, Abwehr und Reaktion. Mit diesem umfassenden Lösungskonzept hilft NTT Com Security Unternehmen, die IT-Kosten zu senken und die Qualität von IT-Sicherheit, Risikomanagement, Compliance und Serviceverfügbarkeit zu verbessern. Die NTT Com Security AG hat ihren Hauptsitz in Ismaning, Deutschland, und ist Teil der NTT Communications Group, die sich im Besitz der NTT (Nippon Telegraph and Telephone Corporation) befindet, einem der größten Telekommunikationsunternehmen der Welt. Weitere Informationen finden sich unter: http://www.nttcomsecurity.com/de
Bei Rückfragen wenden Sie sich bitte an:
Kontakt NTT Com Security:
Hakan Cakar
Director Marketing, Central Europe
Tel: +49 (0) 89 94 57 32 34
hakan.cakar@nttcomsecurity.com
Ansprechpartner:
Hanna Greve
Account Director
PR-COM Beratungsgesellschaft für strategische Kommunikation mbH
Tel.: +49 (0)89 59997 756
hanna.greve@pr-com.de