10 organisatorische und technische Verhaltensregeln bei ...
10 organisatorische und technische Verhaltensregeln bei ...
10 organisatorische und technische Verhaltensregeln bei ...
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
<strong>10</strong> <strong>organisatorische</strong> <strong>und</strong><br />
<strong>technische</strong> <strong>Verhaltensregeln</strong><br />
<strong>bei</strong> Sicherheitsvorfällen<br />
1. Bewahren Sie Ruhe! Unkoordinierte Handlungen könnten wertvolle Beweise vernichten!<br />
2. Führen Sie eine anfängliche Beurteilung des Vorfalls durch!<br />
3. Bei aktiven Angriffen: Begrenzen Sie den Schaden <strong>und</strong> trennen Sie die betroffenen<br />
Systeme vom Netzwerk!<br />
4. Informieren Sie das Management!<br />
5. Sichern Sie Beweismittel mit IuK-forensischen Werkzeugen oder holen Sie sich<br />
entsprechende externe Unterstützung!<br />
6. Benachrichtigen Sie nach Rücksprache mit Ihrem Rechtsberater ggf. externe Stellen!<br />
7. Führen Sie eine erste Analyse der gesicherten Beweise durch!<br />
8. Stellen Sie ggf. die Systeme wieder her!<br />
9. Lernen Sie aus Sicherheitsvorfällen!<br />
<strong>10</strong>. Kontaktieren Sie externe IuK-Forensik Sachverständige!<br />
HvS-Consulting AG<br />
Notfall-Rufnummer: +49 (0)89/890 63 62-61 • forensik@hvs-consulting.de
<strong>10</strong> <strong>organisatorische</strong> <strong>und</strong> <strong>technische</strong><br />
<strong>Verhaltensregeln</strong> <strong>bei</strong> Sicherheitsvorfällen<br />
1. Bewahren Sie Ruhe!<br />
Vermeiden Sie Überreaktionen oder Panik. Befolgen Sie systematisch Ihren definierten Incident-Response-Plan. Unkoordinierte Handlungen (z.B. Neustarten von Rechnern,<br />
An- bzw. Abmeldung oder Anschluss von externen Geräten) könnten wertvolle Beweise vernichten. Verwenden Sie Out-Of-Band-Kommunikationsmittel, wie z. B. Telefon <strong>und</strong><br />
Fax, oder sprechen Sie persönlich mit den betreffenden Personen. Angreifer können sonst möglicherweise mithören.<br />
2. Führen Sie eine anfängliche Beurteilung durch!<br />
Legen Sie eine anfängliche Prioritätsebene fest, <strong>und</strong> bestimmen Sie für den Sicherheitsvorfall einen Verantwortlichen. Ermitteln Sie die Art <strong>und</strong> das Ausmaß des Vorfalls,<br />
z.B. Abfluss von vertraulichen Informationen (fahrlässig oder Vorsatz), Wirtschaftskriminalität & Betrug (z.B. Manipulation von Daten), Missbrauch von IuK-Systemen<br />
(z.B. strafrechtlich relevante Inhalte, Urheberrechtsfälle), Hacking- oder Viren-Angriffe, etc.<br />
Identifizieren Sie alle von dem Vorfall betroffenen IuK-Systeme. Denken Sie auch an mobile Geräte (z.B. Handy, PDA, Blackberry etc.) <strong>und</strong> „Sonder-Systeme“ (z.B. Telefonanlage,<br />
Multifunktionsgeräte wie Netzwerkdrucker/-kopierer/-scanner, Zutrittskontrollsystem etc.).<br />
Stellen Sie alle Aufzeichnungen <strong>und</strong> Aufnahmen in einem Aktivitätsprotokoll (Wer hat Wann Was gemacht - wichtig: Datum & Uhrzeit!) über den Sicherheitsvorfall zusammen.<br />
3. Bei aktiven Angriffen: Begrenzen Sie den Schaden!<br />
Isolieren Sie <strong>bei</strong> aktiven Angriffen, je nach Schweregrad <strong>und</strong> Incident-Eskalations-Plan die betroffenen Systeme, indem Sie diese vom Netzwerk (LAN bzw. WAN) trennen.<br />
Ändern Sie alle administrativen bzw. Root-Passwörter.<br />
4. Informieren Sie das Management!<br />
Informieren Sie unternehmensintern alle relevanten Stellen (je nach Auswirkung & Bedeutung) des Sicherheitsvorfalls: Management, Rechtsabteilung, Personalabteilung,<br />
Datenschutz, Fraud-Management, Revision, Compliance, Presseabteilung bzw. Abteilung für Öffentlichkeitsar<strong>bei</strong>t & -kommunikation, Betriebsrat.<br />
Halten Sie aber die Gruppe der informierten Personen so klein wie möglich!<br />
5. Sichern Sie Beweismittel!<br />
Sichern Sie die betroffenen IuK-Systeme so schnell wie möglich mit zertifizierten forensischen Werkzeugen (z.B. Voom Technologies HC-3, Tableau Writeblocker) auf<br />
dedizierten Sicherungsmedien. Wenn möglich, sollten Sie die IuK-Systeme vollständig sichern, einschließlich der Protokolle <strong>und</strong> Systemstatusdaten.<br />
Beispiele für IuK-forensische Beweissicherung:<br />
· Sicherung flüchtiger Daten der betroffenen Systeme (z.B. Status der Netzverbindungen, Status laufender Prozesse, Speicherinhalte, aktuelle Uhrzeit etc.)<br />
· Forensische Duplikation von Speichermedien (z.B. Notebooks, Desktop-PCs, USB-Sticks etc.)<br />
· Forensische Sicherung von mobilen Geräten (z.B. Speicherabzug eines PDAs oder BlackBerrys)<br />
· Forensische Sicherung der Daten von betroffenen Personen auf Netzwerklaufwerken (z.B. auf read-only DVDs mit Hashwerten)<br />
· Sicherung von Protokolldaten aller relevanten IuK-Systeme (z.B. Firewall-Log, Proxy-Log, E-Mail-Server-Log, Remote Access bzw. VPN-Log, TK-Anlagen-Log etc.)<br />
· Sicherung von Protokolldaten weiterer relevanter Systeme (z.B. Zutrittskontrollsystem, Videoüberwachungssystem etc.)<br />
Verwahren Sie wenn möglich alle relevanten IuK-Systeme (z.B. Rechner, mobile Geräte, Wechseldatenträger (z.B. USB-Sticks, CDs etc.) nach der forensischen Sicherung in<br />
einem abgesperrten Raum bis zur weiteren Analyse!<br />
Wichtig: Dokumentieren Sie im Rahmen der Beweissicherung, wer die Beweismittel wie <strong>und</strong> wann gesammelt hat <strong>und</strong> wer darauf zugreifen konnte.<br />
Beachten Sie <strong>bei</strong> der Beweissicherung juristische Fallstricke (z.B. allgemeine Persönlichkeitsrechte, Mitbestimmungs- & Informationsrechte).<br />
Holen Sie sich <strong>bei</strong> der Beweismittelsicherung ggf. externe Unterstützung (siehe Punkt <strong>10</strong>).<br />
6. Benachrichtigen Sie ggf. externe Stellen!<br />
Eruieren Sie zusammen mit Ihrem Rechtsberater, ob der Vorfall den Strafverfolgungsbehörden zwingend zu melden ist. Sollten Behörden bereits Untersuchungen eingeleitet<br />
haben, beachten Sie den PSP-Flyer „<strong>Verhaltensregeln</strong> für Durchsuchungen im Unternehmen“.<br />
7. Führen Sie eine erste Analyse der gesicherten Beweise durch!<br />
Untersuchen Sie Logfiles nach ungewöhnlicher Aktivität, fehlenden Protokollen <strong>und</strong> Lücken in Protokollen. Suchen Sie Hackertools (Tools zum unerlaubten Entschlüsseln von<br />
Kennwörtern, Trojanische Pferde usw.). Suchen Sie nach nicht autorisierten Anwendungen oder Prozessen, die so konfiguriert sind, dass sie automatisch starten. Untersuchen<br />
Sie Benutzerkonten nach erweiterten Berechtigungen <strong>und</strong> nicht autorisierten Gruppenmitgliedern. Vergleichen Sie die Systemleistung des kompromittierten Systems<br />
mit der ursprünglichen Systemleistung. Weitergehende Analysen (z.B. Wiederherstellung gelöschter Daten, Analyse von MAC-Times, Analyse von Benutzeraktivitäten etc.)<br />
sollten nur mit zertifizierten Forensik-Tools (z.B. FTK, X-Ways oder EnCASE) <strong>und</strong> dem entsprechenden Fach-KnowHow bzw. Unterstützung externer Spezialisten durchgeführt<br />
werden!<br />
8. Stellen Sie ggf. die Systeme wieder her!<br />
Überprüfen Sie aktuelle, nicht beschädigte Sicherungen. Stellen Sie das/die betroffenen IuK-Systeme wieder her. Überprüfen Sie die Funktionen <strong>und</strong> stimmen Sie die<br />
Systemleistung auf die ursprünglich als Basis geplante Systemleistung ab. Überprüfen Sie, ob im Zusammenhang mit der Schadensbegrenzung („quick & dirty“) andere<br />
Schwachstellen erzeugt wurden.<br />
9. Lernen Sie aus Sicherheitsvorfällen!<br />
Untersuchen Sie die Ursachen für den Sicherheitsvorfall <strong>und</strong> verbessern daraufhin Ihre Schutzmaßnahmen, um erneute Vorfälle <strong>und</strong> damit verb<strong>und</strong>enen Angriffe in Zukunft<br />
zu verhindern. Überprüfen Sie Ihren Incident-Response-Plan <strong>und</strong> erweitern Sie diesen auf Basis der neu gewonnenen Erkenntnisse <strong>und</strong> Erfahrungen (Lessons Learned).<br />
<strong>10</strong>. Kontaktieren Sie externe IuK-Forensik-Sachverständige!<br />
Kontaktieren Sie <strong>bei</strong> Sicherheitsvorfällen neutrale, externe Sachverständige mit dem entsprechenden Fach-KnowHow <strong>und</strong> Zugang zu zertifizierten Forensik-Produkten.<br />
HvS-Consulting AG<br />
Notfall-Rufnummer: +49 (0)89/890 63 62-61 • forensik@hvs-consulting.de
Change language