Eine der bemerkenswertesten Eigenschaften des Menschen ist seine Vorsicht gegen\u00fcber dem, was um ihn herum geschieht, und gleichzeitig seine Skepsis gegen\u00fcber bestimmten Situationen. Dieser Charakterzug von uns erstreckt sich auch auf die Cybersecurity, wo wir oft Entscheidungen auf der Grundlage des Risikos treffen, das mit der Situation einhergeht. Es kommt vor, dass wir das Szenario vorhersehen, was im Falle eines Cyber-Angriffs geschehen wird. Die Entscheidungen \u00fcber Sicherheitsgegenma\u00dfnahmen werden oft auf der Grundlage eines bestimmten Bedrohungsszenarios getroffen.<\/p>\n
Die g\u00e4ngige Antwort, die wir von vielen unserer Kunden erhalten, lautet: “Wir haben keinen formell definierten und getesteten Prozess, wie wir uns von einem Cyber-Angriff erholen k\u00f6nnen. Mit anderen Worten: Es existiert kein getesteteter Incident Response Plan”. Die meisten der etablierten Organisationen haben einen sehr guten Incident Response Plan, aber wie effektiv ist der Plan wirklich, wenn er in die Tat umgesetzt wird? Laut dem EY Global Information Security Survey 2016-2017<\/a> investiert der \u00d6l- und Gassektor mehr Geld in Business Continuity (47%) als in andere L\u00f6sungen. Ein Incident Response Plan legt fest, wie im Falle eines Cyber-Angriffs zu reagieren ist. Er ist eine der Schl\u00fcsselkomponenten eines Business Continuity-Plans. Wie kann man sich von einem Cyberangriff erholen?<\/p>\n Die meisten Cyber-Angriffe werden nicht sofort erkannt. Im Durchschnitt dauert es etwa 206 Tage, bis ein Unternehmen einen Cyber-Angriff erkennt oder \u00fcberhaupt bemerkt, dass ein Cyber-Angriff stattgefunden hat.<\/strong> Warum es so lange dauert? Daf\u00fcr gibt es verschiedene Gr\u00fcnde, z.B. unzureichende \u00dcberwachung und das Fehlen einer angemessenen Sicherheitspolitik. Es gibt nur wenige Aktionen aus dem Incident Response Playbook, die durchgef\u00fchrt werden m\u00fcssen, um Zeit und Datum des Angriffs, die Art des Angriffs, die Auswirkungen des Cyber-Angriffs<\/a>, das Sammeln von Protokollen aus dem betroffenen System (wenn m\u00f6glich) usw. herauszufinden. Diese Schritte erleichtern es, auf das Problem zu reagieren. Nachdem der Angriff identifiziert wurde, geht es darum, ihn einzud\u00e4mmen und zu verhindern, dass er sich auf andere Systeme oder Netzwerke ausbreitet. Wenn es nicht gelingt, den Einbruch einzud\u00e4mmen, kann dies zu einem Worst-Case-Szenario mit fatalen Auswirkungen, Verlust von Menschenleben, Umweltkatastrophen, usw., f\u00fchren. Als Teil des Eind\u00e4mmungsprozesses m\u00fcssen die folgenden Schritte durchgef\u00fchrt werden:<\/p>\n Verschiedene L\u00e4nder haben unterschiedliche Gesetze, wie entsprechende Regierungsinstitutionen \u00fcber den Cyber-Angriff<\/a> informiert werden sollen. Einige L\u00e4nder haben strenge Regeln, nach denen Organisationen die Bundesorganisation \u00fcber den Angriff informieren m\u00fcssen. Dies hilft ihnen, mehr Informationen \u00fcber den Angriff zu erhalten. Im Gegenzug kann die betroffene Organisation auch Unterst\u00fctzung von der Regierung erhalten. Ebenso wichtig ist es, die Stakeholder oder Kunden \u00fcber Gegenma\u00dfnahmen und Entsch\u00e4digungen zu informieren. Stakeholder und Kunden sollten auch \u00fcber die Strategien zur Verhinderung und Eind\u00e4mmung k\u00fcnftiger Angriffe informiert werden. Dies demonstriert das Engagement der Organisation.<\/p>\n Die Risikomatrix der Organisation erkl\u00e4rt die Auswirkungen eines Cyberangriffs im Hinblick auf Sicherheit, Finanzen, Umwelt und Reputation. Nachdem der Angriff stattgefunden hat, muss die Auswirkungsmatrix bewertet werden, und wenn n\u00f6tig sind \u00c4nderungen vorzunehmen. Dies wird eine genauere Messung der Auswirkungen eines Cyber-Angriffs erm\u00f6glichen. Die anf\u00e4nglichen Identifizierungsverfahren, Eind\u00e4mmungsma\u00dfnahmen und die Unterrichtung der Stakeholder sind die ersten Schritte, um auf den Angriff zu reagieren. Es ist wichtig, dass eine Organisation aus dem Angriff lernt. Das bedeutet auch, die Wirksamkeit der vorhandenen Security-Gegenma\u00dfnahmen zu \u00fcberpr\u00fcfen. Der Angriff<\/a> ist in erster Linie auf unsachgem\u00e4\u00dfe und unwirksame Security-Gegenma\u00dfnahmen<\/a> zur\u00fcckzuf\u00fchren.<\/strong> Um die Angriffsfolgen beurteilen zu k\u00f6nnen, ist es auch wichtig, Security auf den neuesten Stand zu bringen.<\/p>\n Die Bewertung des Angriffs liefert n\u00fctzliche Informationen wie die Angriffsquelle, betroffene Anlagen\/Systeme und andere technische Details wie Logdaten, Art des Angriffs usw. Diese Informationen helfen nicht nur, die Wirksamkeit der bereits bestehenden Gegenma\u00dfnahmen zu \u00fcberpr\u00fcfen, sondern auch diese zu verbessern. Die Cyber Kill Chain<\/a> kann bei der Entscheidung \u00fcber die Gegenma\u00dfnahmen helfen. Die Entscheidung \u00fcber SIEM oder andere \u00dcberwachungsl\u00f6sungen muss in der Liste der Gegenma\u00dfnahmen enthalten sein, sofern sie nicht bereits vorhanden sind. Die Gegenma\u00dfnahmen m\u00fcssen in regelm\u00e4\u00dfigen Abst\u00e4nden auf ihre volle Funktionsf\u00e4higkeit getestet werden, um einen weiteren Angriff in der Zukunft zu vermeiden.<\/p>\n Zur Verbesserung und \u00dcberpr\u00fcfung der Bereitschaft des Incident Response-Plans empfiehlt Yokogawa<\/a> den Organisationen dringend, Cyberwar-Spiele durchzuf\u00fchren.<\/strong> Durch diese Cyberwar-Spiele k\u00f6nnen die Bereitschaft und die Genauigkeit des Incident Response Plans getestet werden. Sie bieten den Organisationen auch eine reale Erfahrung \u00fcber Cyber-Angriffe und dar\u00fcber, wie sie reagieren sollen, wenn ein solcher Angriff stattfindet. Eine periodische \u00dcberpr\u00fcfung und Validierung des Incident Response Plans ist f\u00fcr die Gesch\u00e4ftskontinuit\u00e4t einer Organisation von entscheidender Bedeutung. Hat Ihr Incident Response Plan bereits die Feuerprobe bestanden?<\/strong><\/p>\n Anatomie eines Cyber-Angriffs – Teil 1<\/a><\/p><\/blockquote>\nBefolgen Sie die Ma\u00dfnahmen eines Incident Response Plans<\/h2>\n
\n
Stakeholder und Kunden \u00fcber den Angriff informieren<\/h2>\n
Messung der Konsequenzen nach dem Angriff<\/h2>\n
Die Security-Gegenmassnahmen verbessern<\/h2>\n
\n