Incident Response

Im Zuge der Vorbereitungsphase werden im Laufe der Inbetriebnahme des SIEM-Systems die benötigten Kommunikationskanäle erfasst und für das Incident Response Management etabliert.

• Erfassung der Kommunikations- und Meldewege
• Etablierung des Incident Response Management

Während der Identifikationsphase werden die vom SIEM-System erfassten Ereignisdaten, die ausgegebenen Alarme, verfügbare Bedrohungsinformationen sowie Kenntnisse über die vorhandenen IT-Infrastrukturen des Kunden ausgewertet. Das ermöglicht die qualifizierte Bewertung von IT-Sicherheitsvorfällen und steigert die Effizienz beim Incident Response Management.

• Auswertung der Alarme und Bedrohungsinformationen
• Qualifizierte Bewertung des Sicherheitsvorfalls

Sollte es zu einem Sicherheitsvorfall kommen, erfolgen während der Eindämmungsphase Maßnahmenempfehlungen zur Schadensbegrenzung. Dazu zählt z. B. die Isolation betroffener Systeme oder die gezielte Blockierung von Kommunikationspfaden, um weitere Schäden zu vermeiden.

• Schadensbegrenzung durch Maßnahmenempfehlungen
• Eindämmung durch Blockierung von Ausbreitungswegen

In der Bereinigungsphase werden die Ereignisdaten analysiert, um die Ursache oder den Auslöser des Sicherheitsvorfalls zu finden und die betroffenen Systeme aus der Produktivumgebung zu entfernen.

• Säuberung

In der Wiederherstellungsphase werden betroffene Systeme wieder in die Produktionsumgebung gebracht. Dabei werden wichtige Informationen gesammelt, beispielsweise, welche Tools bei der Wiederherstellung zum Einsatz kommen.

• Wiederherstellung des Betriebsablaufs
• Erfassung des Lösungsansatzes

Durch Dokumentation und Aufbereitung des Incident-Response-Prozesses werden Verbesserungsmaßnahmen entwickelt, um künftige Vorfälle zu vermeiden. Dazu gehört auch die Vermeidung von Fehlalarmen (False Positives) und Optimierungen bei der Abarbeitung.

• Entwicklung von Verbesserungsmaßnahmen
• Künftige Prozessoptimierung und Vermeidung von Fehlalarmen