Incident Response

Wer sind die Hauptakteure in einem Incident Response Team? 

IR团队中的主要参与者是至关重要的，他们应该根据特定情况采取行动。 Verstoßes ausrichten. 因此，网络安全团队应该指定特定的人员或团队来执行以下核心职能: 

• Icident Management:这个核心角色需要广泛的技术知识和以前在管理和事件响应方面的经验。. Die Person in dieser Rolle fungiert als Gesamtprojektleiter, 监督技术任务的执行和所有有关利益攸关方的信息收集.
• Untersuchung von Unternehmensvorfällen:在公司工作所面临的挑战可能与在小公司工作所面临的挑战不同. 大型企业中的重大安全漏洞需要使用技术和跨团队协作来支持所有(甚至远程)主机上的取证。, damit das Team so schnell wie möglich Indikatoren für eine Kompromittierung sowie deren möglichen Umfang finden kann.
• Technische Analyse: Diese Rollen erfordern technisches Know-how, und es ist am besten, Analysten im Team zu haben, die sich auf bestimmte Bereiche spezialisieren, z.B. 恶意软件分析，法医分析，事件日志分析和网络分析. 这些分析师找到的任何信息都应该与IR团队的其他成员共享。.
• Eingrenzung des Vorfalls: Was war der Umfang des Verstoßes? Das ist eine entscheidende Frage, die jedes IR-Team beantworten können muss. 这个问题的答案可能会随着行动和进一步调查而改变。, zumal die technische Analyse weitergeht.
• Krisenkommunikation:调查结果、事件的范围和可能的后果必须在内部和外部沟通。. 一个经验丰富的危机沟通团队应该向正确的目标群体传达正确的信息. Seine Aufgaben können Benachrichtigungen zu Sicherheitsverletzungen, Mitteilungen an die Aufsichtsbehörden, 包括通知工作人员和(或)受害者，并在必要时与媒体举行会谈.
• Rechtliche, personalwirtschaftliche und regulatorische Belange: Falls eine Sicherheitsverletzung irgendwelche rechtlichen Belange oder Auswirkungen auf die Compliance des Unternehmens hat, sollte man jemanden im Team haben, der weiß, 如何处理披露要求或与执法机构合作. Für Teams, die nicht über eigenes Fachwissen für diese Anforderungen verfügen, 专业的法律专业知识是一项值得的投资.
• Entscheidungsfindung auf Führungsebene:任何违规行为都可能对公司的公众形象和财务声誉产生潜在影响。, weshalb die Führungsebene immer einbezogen werden sollte. 在对事件的反应和调查过程中，将会有决定性的时刻。, 在这个过程中，团队将需要一位领导者的投入来处理这些关键问题。.
• Reporting und Behebung:在修复过程中，记录一切是很重要的. Mit diesen Informationen sollten Teams in der Lage sein, 汇编安全漏洞的完整历史:攻击者做了什么, wann und wie dies erfolgt ist und was sie gefährdet haben. Dies ermöglicht, einen ausführlichen Maßnahmenplan zur Problembehebung und Schadensbegrenzung 用于安全漏洞后的系统恢复，希望能帮助组织。, zukünftige Angriffe ähnlicher Art abzuwehren.

Was ist ein Incident Response Plan? 

Ein IR-Plan beschreibt, welche Schritte von wem unternommen werden müssen, 当公司发生安全漏洞或安全危机时. Ein solider Response Plan sollte es Teams ermöglichen, 尽快采取行动，尽快修复损坏. Jeder Augenblick zählt. 因此，负责安全漏洞的人员定期进行培训模拟和过程检查。, sodass sie im Ernstfall genau wissen, was zu tun ist.

Um zu verhindern, dass es in Ihrem Unternehmen zu langsamen Reaktionen kommt, sollten die Einsatzkräfte über einen sorgfältig ausgearbeiteten IR-Plan verfügen, der regelmäßig für eine Vielzahl möglicher Szenarien geprobt wird. 关键利益相关者和C级高管的同意也至关重要。, damit Ihr Team weiß, dass die Unterstützung vorhanden ist, damit es schnell und effizient handeln kann.

毕竟，当发生安全事件时，不仅仅是技术团队需要采取行动。, 非技术资源，如法律和通信部门，以及外部方也可以参与。, insbesondere wenn Sie mit einem Sicherheitsdienstleister zusammenarbeiten.

Was sind Managed Incident Response Services? 

管理事件响应服务由外部供应商提供，旨在为任何成熟的公司提供服务, Größe und Kompetenz dabei helfen, 更好地准备和应对安全漏洞. Diese Anbieter können dabei helfen, strategische und taktische Lücken auf folgende Art und Weise zu schließen:

• Entwicklung von soliden Sicherheitsprogrammen: Falls Sie nicht sicher sind, ob Ihr Incident-Detection-Programm alle möglichen Eventualitäten abdeckt, die für Ihr Unternehmen relevant sind, so kann ein Managed-IR-Service Ihnen dabei helfen, Ihre Bereitschaft bei Vorfällen und Verstößen zu verbessern. 
• Durchführung von Übungen:用威胁模拟测试你的内部IR团队和他们的准备情况, die vom externen Dienstleister durchgeführt werden. 
• Kompromittierungs- und/oder Bereitschaftsbewertungen für Sicherheitsverstöße:外部IR团队可以评估您的环境和公司安全流程的当前状态，并识别潜在的风险或漏洞。. 
• Sofortige Reaktion auf Sicherheitsverstöße: Wenn Sie einen Sicherheitsverstoß vermuten und sofort Hilfe benötigen, so kann ein Managed-Services-Anbieter sofort in Aktion treten, um weiteren Schaden zu verhindern. 
• Angebot von Incident-Response-Verträgen: Ein Vertrag stellt sicher, 你自己的团队和你的供应商的团队遵循相同的计划，并准备在违规情况下采取行动。. Viele Verträge beinhalten mehrere der oben genannten Leistungen, 他们通常保证特定的服务水平协议的响应时间. 

Es mag sich gebetsmühlenartig anhören, aber der schlechteste Zeitpunkt, um sich auf einen Sicherheitsverstoß vorzubereiten, ist tatsächlich, nachdem ein solcher stattgefunden hat. Die beste Vorbereitung auf dieses Worst-Case-Szenario ist es, einen soliden IR-Plan zu haben und sicherzustellen, dass er allen Beteiligten vermittelt wurde. 

Das Post-Mortem 

然而，在成功应对安全漏洞后，你不能休息。. Das interne IR-Team sollte ein Post-Mortem durchführen, um aus den Erfahrungen zu lernen und die Abwehrbereitschaft zu verbessern.

Was hat funktioniert, 什么不起作用，什么可以做得更好或更快? Es gibt keinen besseren Lehrmeister als die Erfahrung, daher ist es wichtig, 从应对真正的安全漏洞中吸取尽可能多的教训.

Erfahren Sie mehr über Incident Response 

Bereiten Sie sich vor: Entwicklung eines Incident Response Plans (Teil 1)

Bereiten Sie sich vor: Entwicklung eines Incident Response Plans (Teil 2)

Incident Response: Aktuelles aus dem Rapid7 Blog