Zugriff für Incident-Response-Dienstleister einrichten — was muss in die Vereinbarung über Remote-Zugriffe?

Schaltet statt eines dauerhaften VPNs zwingend eine PAM-Lösung (Privileged Access Management) dazwischen. Der Analyst sollte das eigentliche Passwort gar nicht kennen; es wird automatisiert aus dem Tresor injiziert und jeder getippte Befehl landet per Syslog sofort in Echtzeit auf einem separaten Log-Server. So kann nachträglich nichts manipuliert werden.

Juristisch muss die Rollentrennung zwischen Verantwortlichem und Auftragsverarbeiter gemäß KVKK glasklar geregelt sein. Zudem sollte vertraglich festgelegt werden, dass die Methodik bei forensischen Untersuchungen anerkannten internationalen Standards entspricht, damit die lückenlose Beweiskette (Chain of Custody) vor Gericht Bestand hat.

Vor zwei Jahren haben wir einer ähnlichen Beratungsfirma zum Testen ein dauerhaftes VPN gegeben, die Arbeit war fertig, aber das Konto wurde nicht geschlossen. Neun Monate später wurde der Laptop eines Mitarbeiters dieser Firma gestohlen und Angreifer sind in unser Netzwerk eingedrungen. Zum Glück haben wir es früh in den Logs bemerkt. Seit dem Tag öffnen wir niemandem mehr die Tür außer mit temporären Konten.

Beschränkt die Verbindung über die Firewall so, dass nur die zwei festen IP-Adressen erlaubt sind, die die Firma meldet. Blockiert den Zugriff von zu Hause, aus dem Café oder über dynamische IPs komplett. Multifaktor-Authentifizierung (MFA) mit Hardware-Schlüssel soll verpflichtend sein.

Das Argument "in den ersten halben Stunde können wir nicht eingreifen" kommt meistens aus der Faulheit. Mit einem automatischen Freigabe-Script dauert es 90 Sekunden, ein Konto zu aktivieren. Lasst eure Infrastruktur nicht dauerhaft ungeschützt, nur damit die sich wohlfühlen.

3 Punkte, die ihr in den Vertrag aufnehmen lassen müsst: 1) Namens- und Führungszeugnisliste der Experten, die im Eingreifteam sein werden. 2) Verschlüsselungsstandard und Vernichtungsprotokoll der Daten, die für die Untersuchung aus dem System geholt werden (z.B. RAM-Dump). 3) Schadensersatzlimits, die gelten, wenn durch fehlerhaftes Eingreifen ein Serviceausfall entsteht.

Dauerhafte Root- oder Domain-Admin-Rechte an eine externe Firma zu geben ist in keinem Sicherheitsstandard akzeptabel.

Hat das eingreifende Team eine Berufshaftpflichtversicherung? Wenn bei einem möglichen falschen Befehl eure Datenbank flöten geht oder Daten leaken, wie viel von diesem Schaden deckt die Versicherungspolice?

Ich möchte etwas fragen. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

Wer bei remote incident response zugriffsvereinbarung hetzt, stolpert alle an derselben Stelle. Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Genau so ist es. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Nur als Notiz, könnte nützlich sein.

Ich fasse kurz zusammen, was bisher gesagt wurde. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels. Nur als Notiz, könnte nützlich sein.

Gut gemacht. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Viel Erfolg.

Notiert, danke.

Vielen Dank, ich werde es heute testen. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

An deiner Stelle würde ich so vorgehen.

ich stimme zu.

Ich probiere es aus.

Du hast recht, ich bin denselben Weg gegangen. Wenn man Fehlalarme anschreit meldet sich danach niemand mehr.

Schreibt mir, wenn ihr Fragen habt ich antworte so gut ich kann.

ich fasse kurz zusammen was bisher gesagt wurde und die Antwort hängt stark von der Branhe ab, es gibt keine allgemeine Regel.

schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.