Incident Response und Wiederinbetriebnahme
In den ersten Stunden zählt die Reihenfolge der Handgriffe mehr als ihre Raffinesse. Zu schnell neu zu starten löscht die Spuren; zu lange zu warten verlängert den Ausfall.
Eindämmen, dann wieder in Betrieb nehmen
Der erste Entscheid trennt was bewahrt werden muss von dem was wieder laufen soll. Wir isolieren das betroffene System, nehmen eine verwertbare Kopie der Spuren, und bringen den Dienst auf einer sauberen Grundlage zurück, ohne das Ende der Auswertung abzuwarten.
Diese Reihenfolge vermeidet den häufigsten Fehler: den kompromittierten Server zu säubern und danach festzustellen dass der einzige Beweis des Geschehenen zerstört wurde.
- Isolierung des betroffenen Systems, ohne Spuren zu zerstören
- Verwertbare Kopie der Protokolle und des Systemzustands
- Wiederinbetriebnahme auf sauberer Grundlage, parallel zur Auswertung
- Sofortige Rotation von Zugängen und Schlüsseln
Verstehen was geschehen ist
Die Auswertung sucht den Einstiegspunkt, das Ausmass des Betroffenen und die Dauer des Zustands. Diese drei Antworten bestimmen alles Weitere, auch Ihre Meldepflichten wenn Personendaten betroffen sind.
- Einstiegspunkt und Zeitverlauf ermittelt
- Perimeter der tatsächlich betroffenen Daten
- Dauer der Exposition aus Spuren belegt, nicht vermutet
- Unterlagen für eine allfällige Meldung an eine Behörde
Die Wiederholung verhindern
Ein Vorfall der keine dauerhafte Änderung bewirkt wiederholt sich. Wir übergeben einen schriftlichen Bericht der sagt was geschehen ist, was behoben wurde, und was mit Prioritäten offen bleibt. Dieses Dokument dient danach gegenüber Geschäftsleitung, Versicherung oder Behörde.
- Schriftlicher Bericht, auch ausserhalb des Fachkreises verwertbar
- Erledigte und offene Korrekturen getrennt ausgewiesen
- Einrichtung der fehlenden Überwachung
- Wiederherstellungstest, um die Tragfähigkeit der Sicherung zu prüfen
Incident Response und Wiederinbetriebnahme
Greifen Sie auch auf Plattformen ein die Sie nicht gebaut haben?
Ja, das ist der häufigste Fall. Wir beginnen mit einer schnellen Lagebeurteilung und sagen Ihnen binnen einer Stunde ob das Thema in unserer Reichweite liegt oder zu einer Spezialität gehört die wir nicht ausüben.
Soll ein Lösegeld bezahlt werden?
Das ist kein technischer Entscheid und wir treffen ihn nicht an Ihrer Stelle. Wir liefern was ihn erhellt: was tatsächlich verschlüsselt ist, was die Sicherungen wiederaufbauen lassen, und wie lange eine Wiederinbetriebnahme über Wiederherstellung real dauert.
Wann ist eine Behörde zu benachrichtigen?
Das hängt von der Art der Daten und vom anwendbaren Recht ab, und die Frist ist kurz. Wir liefern die tatsächlichen Grundlagen die Ihre Rechtsberatung zum Entscheid braucht, mit aus Spuren belegtem Zeitverlauf und Perimeter.
Sicherheitsforschung
Härtung, Reaktion auf Vorfälle, Verwaltung von Geheimnissen sowie angewandte Arbeiten zu Betrug und Echtheit.
In der Division Sicherheitsforschung
Sprechen wir über das, was Sie bauen wollen.
Beschreiben Sie Ihre Lage in wenigen Zeilen. Liegt das Thema ausserhalb unserer Stärken, sagen wir es sofort.
Kontakt aufnehmen