Incident Detection und Response im kleinen Team: Wer macht was, wie verteile ich die Rollen?

Aktiviert als allererstes die automatische Netzwerktrennung auf den Endpoints. Zu zweit könnt ihr keine Logs wälzen, aber wenn der Client bei verdächtigem Verhalten sofort selbst vom Netz geht, verschafft euch das Stunden für die Reaktion.

Die Rollenverteilung im 2-Mann-Team ist meistens klar: Einer versucht das Feuer zu löschen und der andere erklärt dem Chef, warum der Laden nicht pleitegeht. Spaß beiseite: Ohne externe Automation oder Support bemerkt ihr einen Angriff der nachts um 03:00 Uhr startet erst morgens bei Schichtbeginn.

Bastelt euch aus Standard-Vorlagen einen simplen Runbook-Spickzettel. 1) Netzwerk kappen, 2) Passwörter zurücksetzen, 3) Image ziehen. Wenn der Kopf raucht, hangelt man sich einfach an diesem Zettel entlang – in Panikmomenten hilft das am meisten.

Wir sind auch ein Dreier-Team und hatten denselben Druck. Die Geschäftsleitung dachte, wir könnten das alles locker nebenbei mitmachen. Am Ende haben wir eine klare Kostenaufstellung vorgelegt: Wenn ihr 24/7 wollt brauchen wir entweder Schichtpersonal oder einen Dienstleister. Outsourcing war am Ende viel günstiger als neue Stellen und wir können wieder ruhig schlafen.

Wie sieht eure aktuelle Backup-Strategie aus? Der Kern jeder Incident Response ist der Restore aus einem sauberen Backup. Werden komplett netzwerkgetrennte Backups der Server und kritischen Daten regelmäßig getestet?

Viele Anbieter, die Monitoring für kleine Firmen verkaufen, leiten bloß rohe Alarme weiter. Wenn die euch nachts eine Mail schreiben nach dem Motto "Hier kam eine verdächtige Anfrage" und die Arbeit dann doch an euch hängen bleibt, spart euch das Geld. Nehmt nur Services, die den Endpoint im Zweifel wirklich selbst isolieren können.

Schreibt diese 3 Punkte unbedingt fest in euren Reaktionsplan: 1) Niemand darf eigenmächtig Lösegeld zahlen, 2) Beweiskräftige Festplatten-Images müssen vor dem Neuaufsetzen zwingend gesichert werden, 3) Ein alternativer Kommunikationskanal für den Fall, dass die Firmen-Mails down sind.

deckt der Managed-Security-Dienst auch Cloud-E-Mail ab oder überwachen die nur die physischen Rechner im Büro? wir hbaen ein ähnliches Setup, würde mich mal interessieren.

Edit: Ich habe oben etwas falsch geschrieben, entschuldigung.

Ich möchte etwas fragen. Wenn man versucht alles gleichzeitig zu ändern etabliert sich nichts richtig.

Überstürzte Entscheidungen sind oft solche die man sechs Monate später korrigieren muss. Viel Erfolg.

Du hast recht. Wenn du zu einem Thema drei verschiedene Antworten bekommst war die Frage falsch gestellt.

Das war's entschuldige, wenn ich zu lang war.

Nichts vergessen: Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Die obige Antwort bringt es auf den Punkt. Schaut zuerst welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Das ist meine Meinung ich behaupte nicht dass es absolut richtig ist.

Dieser Rat passt meiner Meinung nach nicht auf jeden. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle sondern mit einem geleakten Passwort.

Viel Erfolg.

Das hört man oft, aber bei uns war es nie so. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Aus Erfahrung weiß ich das.

Absolut. Wenn ich noch etwas hinzufügen darf: Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Korrigiert mich, falls ich falsch liege.

Vielen Dank, ich werde es heute testen. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Korrigiert mich, falls ich falsch liege.

Bleibe dran.