Wir wurden heute Morgen gehackt: Wie sieht die Incident Response Schritt für Schritt aus?

Wenn ihr formatiert, sind Firewall-Logs, Sitzungsprotokolle und der RAM-Inhalt komplett weg. Sichert die Event-Logs und Webserver-Zugriffslogs des Servers sofort auf einen sauberen USB-Stick.

Bestimmt sofort eine Person zur Einsatzleitung. Wenn Buchhaltung und IT aneinander vorbeiarbeiten, bricht alles zusammen. Dokumentiert jede einzelne Maßnahme handschriftlich mit Uhrzeit, Aktion und wer es gemacht hat.

Setzt von einem sauberen Gerät aus umgehend alle E-Mail- und VPN-Passwörter der Belegschaft zurück. Prüft auf dem Router sofort nach, ob unbekannte Port-Weiterleitungen oder aktive RDP-Regeln eingerichtet wurden.

Wir haben bei einem ähnlichen Vorfall 3.800 EUR für ein externes Incident-Response-Team bezahlt. Die haben innerhalb von vier Stunden zwei persistente Scheduled Tasks gefunden, die der Angreifer hinterlassen hatte. Hätten wir einfach formatiert und das Backup eingespielt, wären wir in der Folgenacht direkt wieder dran gewesen.

Dass der IT-Kollege sofort formatieren will, ist meist der Versuch, das eigene Versäumnis schnell zu vertuschen. Den Server hochzufahren, ohne das Einfallstor zu kennen, ist, als würde man dem Einbrecher die Haustür gleich wieder aufsperren.

tut mir echt leid, so ein Schock am Montagmorgen ist der absolute Albtraum. versucht ruhig zu bleiben und spielt jetzt bloß nicht überhastet Backups ein, sonst überschreibt ihr am Ende noch das letzte saubere Backup von gestern.

Die Reihenfolge muss lauten: 1) Server physisch vom Netz trennen. 2) RAM- und Disk-Image ziehen. 3) Ursache finden und abdichten. 4) Saubere Wiederherstellung aus sicherem Backup in isolierter Umgebung.

Server nicht ausschalten, nur vom Netzwerk trennen und auf gar keinen Fall formatieren, bevor nicht eine 1:1-Forensikkopie der Platten vorliegt.

kurzfassung für Neueinsteiger: Das allein zu versuchen ist der teuerste Weg.

Da stimme ich zu. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Wenn es jemand anders macht, würde mich das auch interessieren.

Bei uns war es so. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Aus Erfahrung weiß ich das.

bei Incident Response ist es meiner Meiinung nach schwierig so eindeutig zu sprechen. die Zeit, die ihr braucht, um ein Problem zu erkennen bestimmt direkt dessen Kosten.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Bei uns ist es genauso.

Ich schreibe das damit ihr denselben Fehler nicht macht. Die Zeit, die ihr braucht um ein Problem zu erkennen bestimmt direkt dessen Kosten.

Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle. Nur als Notiz, könnte nützlich sein.

Vielen Dank, das hat mir sehr geholfen. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Danke, genau die Antwort, die ich gesucht habe.