Incident Response

Das Security Operations Center unterstützt Sie bei der Bewältigung von Sicherheitsvorfällen. Dabei orientiert sich unser Vorgehen an den etablierten Prozessphasen zum Incident Response Management:

1. Preparation – Vorbereitungsphase

Im Zuge der Vorbereitungsphase werden im Laufe der Inbetriebnahme des SIEM-Systems die benötigten Kommunikationskanäle erfasst und für das Incident Response Management etabliert.

Erfassung der Kommunikations- und Meldewege
Etablierung des Incident Response Management

2. Identification – Identifikationsphase

Während der Identifikationsphase werden die vom SIEM-System erfassten Ereignisdaten, die ausgegebenen Alarme, verfügbare Bedrohungsinformationen sowie Kenntnisse über die vorhandenen IT-Infrastrukturen des Kunden ausgewertet. Das ermöglicht die qualifizierte Bewertung von IT-Sicherheitsvorfällen und steigert die Effizienz beim Incident Response Management.

Auswertung der Alarme und Bedrohungsinformationen
Qualifizierte Bewertung des Sicherheitsvorfalls

3. Containment – Eindämmungsphase

Sollte es zu einem Sicherheitsvorfall kommen, erfolgen während der Eindämmungsphase Maßnahmenempfehlungen zur Schadensbegrenzung. Dazu zählt z. B. die Isolation betroffener Systeme oder die gezielte Blockierung von Kommunikationspfaden, um weitere Schäden zu vermeiden.

Schadensbegrenzung durch Maßnahmenempfehlungen
Eindämmung durch Blockierung von Ausbreitungswegen

4. Eradication – Bereinigungsphase

In der Bereinigungsphase werden die Ereignisdaten analysiert, um die Ursache oder den Auslöser des Sicherheitsvorfalls zu finden und die betroffenen Systeme aus der Produktivumgebung zu entfernen.

Säuberung

5. Recovery – Wiederherstellungsphase

In der Wiederherstellungsphase werden betroffene Systeme wieder in die Produktionsumgebung gebracht. Dabei werden wichtige Informationen gesammelt, beispielsweise, welche Tools bei der Wiederherstellung zum Einsatz kommen.

Wiederherstellung des Betriebsablaufs
Erfassung des Lösungsansatzes

6. Lessons Learned – Lernphase

Durch Dokumentation und Aufbereitung des Incident-Response-Prozesses werden Verbesserungsmaßnahmen entwickelt, um künftige Vorfälle zu vermeiden. Dazu gehört auch die Vermeidung von Fehlalarmen (False Positives) und Optimierungen bei der Abarbeitung.

Entwicklung von Verbesserungsmaßnahmen
Künftige Prozessoptimierung und Vermeidung von Fehlalarmen

Ihre Vorteile

Proaktive Vorbereitung auf mögliche Incidents
Festlegung klarer Prozesse im Incident Response Plan
Kürzere Reaktionszeiten
Reduktion des Schadens
Optimierung der eigenen Sicherheitsstrategie

Im Rahmen unseres Incident Response Management bieten wir zusätzlich an, die Krisenkommunikation für Sie zu übernehmen.