Vorfallsreaktionsplan

  1. Die Person, die den Vorfall entdeckt, informiert seinen Vorgesetzten, falls weitere Eskalationen erforderlich sind. Automatische Überwachungsregeln benachrichtigen die verantwortlichen Mitarbeiter und eskalieren das Problem in 2 Stufen:
    1. zuerst werden die Vorgesetzten benachrichtigt und dann
    2. die Geschäftsleitung. Das Organigramm mit den verantwortlichen Mitarbeitern, Vorgesetzten und der Geschäftsleitung ist für alle Mitarbeiter mit vollständigen Kontaktdaten zugänglich.
  2. Wenn die Person, die den Vorfall entdeckt, Mitglied der IT-Abteilung oder der betroffenen Abteilung ist, fährt er mit Schritt 4 fort.
    1. Nicht-IT-Mitarbeiter sammeln nach Möglichkeit noch folgende Informationen:
    2. Die Art des Vorfalls
    3. Datum/Uhrzeit an dem der Vorfall festgestellt wurde
    4. Welcher Prozess oder welche Ressourcen waren involviert?
    5. Status des Systems und ob das Problem weiterhin besteht
    6. Wie der Vorfall festgestellt wurde.
  3. Der IT-Mitarbeiter oder der betroffene Abteilungsmitarbeiter, der den Anruf erhält (oder den Vorfall entdeckt), verweist auf seine Kontaktliste, damit sowohl das Verwaltungspersonal als auch die Mitarbeiter der Vorfallsreaktion kontaktiert werden können. Der Mitarbeiter protokolliert die empfangenen Informationen in demselben Format wie in Schritt 2 in seinem Tagebuch. Der Mitarbeiter sollte wenn möglich noch folgende Informationen hinzufügen:
    1. Ist die Ausrüstung geschäftskritisch?
    2. Wie schwerwiegend sind die möglichen Auswirkungen?
    3. Name des Zielsystems, Betriebssystem, IP-Adresse und Standort.
    4. IP-Adresse und Informationen zum Ursprung des Angriffs.
  4. Die kontaktierten Mitglieder des Reaktionsteams treffen oder besprechen die Situation telefonisch und legen eine Reaktionsstrategie fest.
    1. Ist der Vorfall real oder wahrgenommen?
    2. Ist der Vorfall noch im Gange?
    3. Welche Daten oder Objekte sind gefährdet und wie kritisch sind sie?
    4. Welche Auswirkungen hat der Angriff auf das Unternehmen, wenn er erfolgreich ist? Minimal, ernst oder kritisch?
    5. Welches System oder welche Systeme sind betroffen, wo befinden sie sich physisch und im Netzwerk?
    6. Liegt der Vorfall im vertrauenswürdigen Netzwerk?
    7. Ist die Antwort dringend?
    8. Kann der Vorfall schnell eingedämmt werden?
    9. Warnt die Antwort den Angreifer und kümmert es uns?
    10. Was für ein Vorfall ist das? Beispiel: Virus, Wurm, Eindringen, Missbrauch, Schaden.
  5. Ein Incident Ticket wird auf dem KBU-seitigem Jira erstellt. Der Vorfall wird in einer der folgenden Kategorien eingeteilt:
    1. Kategorie zwei – Eine Bedrohung für sensible Daten
      1. Kundendaten
      2. Bankdaten
      3. Passworte, etc.
    2. Kategorie drei – Eine Bedrohung für Computersysteme
      1. Server
      2. Arbeitsplatz-PCs
    3. Kategorie vier – Eine Störung der Dienste
      1. Internet
      2. Telefon
      3. E-Mail, etc.
  6. Bei Bedarf werden Partner und Kunden, Servicebenutzer ebenfalls informiert und mit ihnen über notwendige Lösungen beraten.
  7. Das Reaktionsteam erstellt oder befolgt eines der vordefinierten Verfahren. Sie können zusätzliche Verfahren erstellen, die in diesem Dokument nicht vorgesehen sind. Wenn es kein anwendbares Verfahren gibt, muss das Team dokumentieren, was getan wurde, und später ein Verfahren für den Vorfall festlegen.
  8. Das Reaktionsteam wendet forensische Techniken an, einschließlich der Überprüfung von System-/ und Auditprotokollen, der Suche nach Lücken in Protokollen, der Überprüfung von Aufdeckungsprotokollen und der Befragung von Zeugen und des Opfers des Vorfalls, um festzustellen, wie der Vorfall verursacht wurde.
  9. Das Reaktionsteam empfiehlt Änderungen oder Erweiterungen, um zu verhindern, dass das Ereignis erneut auftritt oder andere Systeme infiziert.
  10. Nach Genehmigung durch das Management werden die Änderungen umgesetzt.
  11. Dokumentation – Folgendes muss dokumentiert werden:
    1. Wie der Vorfall entdeckt wurde.
    2. Die Kategorie des Vorfalls.
    3. Wie der Vorfall aufgetreten ist, ob per E-Mail, Firewall usw.
    4. Woher der Angriff kam, wie IP-Adressen und andere verwandte Informationen über den Angreifer.
    5. Wie lautete der Reaktionsplan?
    6. Was wurde als Antwort getan?
    7. Waren die Gegenmaßnahmen wirksam?
    8. Ist der gleiche Vorfall für die Zukunft ausgeschlossen
  12. Beweissicherung: Erstellen Sie Kopien von Protokollen, E-Mails und anderen Mitteilungen. Führen Sie Zeugenlisten. Bewahren Sie die Beweise so lange auf, bis die Strafverfolgung abgeschlossen ist.
  13. Benachrichtigen Sie die zuständigen externen Stellen, wenn hiervon betroffen

Ggfls. benachrichtigen der Polizei und andere zuständige Stellen, wenn eine Verfolgung des Eindringlings möglich ist.