Ein Informationssicherheitsvorfall ist eine Reihe von einem oder mehreren Ereignissen oder Veränderungen im Zustand eines Informationssystems, einer Anlage oder einer Architektur, die sofortige und unmittelbare Sicherheitsmaßnahmen zur Bewertung, Eindämmung, Reaktion und Wiederherstellung erfordern.gut vorbereitete Unternehmen können mit etwas Geschick und Glück die Schäden an Vermögenswerten und die Unterbrechung von Geschäftsprozessen begrenzen, die ein Vorfall sonst verursachen könnte.schlecht vorbereitete Unternehmen machen bei der Charakterisierung und Behandlung eines Vorfalls mit größerer Wahrscheinlichkeit schwerwiegende Fehler und fügen sich dabei möglicherweise selbst größeren Schaden zu.der richtige Umgang mit Vorfällen im Bereich der Informationssicherheit hängt ebenso sehr von den täglichen Geschäftsprozessen ab wie von den Besonderheiten der Reaktionsprozesse auf Vorfälle.die Erkennung eines Vorfalls, die Bewertung, Eskalation, Kommunikation, Wiederherstellung und das Lernen aus dem Vorfall sind Aktivitäten, die typischerweise in den Prozess der Reaktion auf einen Vorfall in einem Unternehmen integriert sind. Die Klärung der Frage, wer was bei einem Vorfall und unter welchen Umständen tut, wird dem Unternehmen bei der Wiederherstellung seiner Geschäftsfunktionen sehr helfen.der Sicherheitsexperte sollte seine rechtlichen und organisatorischen Verantwortlichkeiten für das Incident Management kennen und in der Lage sein, die Aktivitäten und die allgemeine Effektivität der Incident Response-Praxis des Unternehmens zu bewerten.

Die Untersuchung digitaler Forensik als Prozess und als Studienfach ist eine faszinierende und aufregende Kombination von Herausforderungen. Diejenigen, die an solchen Untersuchungen beteiligt sind, stellen fest, dass ihre kreativen Fähigkeiten, ihre Aufmerksamkeit für Details und ihre angeborene Neugier bis an die Grenzen gefordert werden, wenn sie versuchen, die menschlichen, organisatorischen und technischen Aspekte eines Vorfalls im Bereich der Informationssicherheit zu erfassen. Diejenigen, die die Ermittler entweder vor oder während der Untersuchung unterstützen, sind ebenso gefordert, allerdings auf ganz andere Weise. Das Support-Team hat Aufgaben, die es im Rahmen der Bereitstellung von Dienstleistungen für die Ermittler, die Führungskräfte und Manager des Unternehmens und die Endbenutzer im Unternehmen erfüllen muss, und es muss diese Aufgaben mit felsenfester Zuverlässigkeit und Verlässlichkeit nach bestem Wissen und Gewissen ausführen. Einfach ausgedrückt: Sie müssen Verfahren befolgen und sicherstellen, dass alle erforderlichen Prozesse Schritt für Schritt und im Detail eingehalten werden.modul 2 betonte die Notwendigkeit einer soliden Vorbereitung und Planung, bevor der erste Zwischenfall eintritt, und einer flexiblen, reaktionsschnellen und agilen Denkweise, um diese Pläne anzupassen, wenn der erste Zwischenfall eintritt und zeigt, dass die Pläne geändert werden müssen. Die Vorbereitung auf die Untersuchung von Vorfällen ist ein wichtiger Teil der Aufgaben, die das Sicherheitsteam erfüllen muss.um diese Vorbereitung ins rechte Licht zu rücken, werden wir in diesem Modul den Untersuchungsprozess selbst genauer betrachten. Dabei werden wir Möglichkeiten aufzeigen, wie vorausschauende Sicherheitsexperten das Unternehmen, seine Benutzer, seine IT- und OT-Mitarbeiter sowie seine Manager und Führungskräfte darauf vorbereiten können, verschiedene Arten von forensischen Untersuchungen zu unterstützen, wenn diese notwendig werden.in Modul 3 werden einige der Techniken einer digitalen forensischen Untersuchung vorgestellt. Diese Techniken werden Ihnen vielleicht nützlich sein, wenn Sie einen Vorfall untersuchen, an dem ältere Technologiesysteme (z.B. in OT-Architekturen) oder kleinere, lokal gehostete SOHO- oder SMB-Umgebungen beteiligt sind. Die gleichen grundlegenden Konzepte gelten auch in der Cloud und in der Welt von Big Data, aber die Skalierung auf diese Ebene erfordert einen ganz anderen Ansatz und eine andere Denkweise in Bezug auf die Forensik. Lassen Sie uns einen genaueren Blick darauf werfen.

Dieses Kapitel hat gezeigt, wie sich der Schwerpunkt, die Perspektive und die Betonung der Erkennung von und der Reaktion auf Vorfälle in den letzten zehn Jahren verändert haben, und zwar dramatisch verändert. Früher konzentrierten sich Sicherheitsexperten auf die Identifizierung, Aufzählung und Sicherung von Vermögenswerten; sie konzentrierten sich auf die Absicherung von Systemen und Netzwerken. Diese Anstrengungen waren notwendig, aber sie bedeuteten manchmal, dass die Aufdeckung eines Einbruchs oder eines Eindringens eine geringere Priorität hatte. Viele der Schlagzeilen machenden Cyberverletzungen und Lösegeldangriffe der letzten Jahre zeigen, dass die Angreifer die sechs bis acht Monate ausgenutzt haben, die ein durchschnittliches Unternehmen braucht, um zu bemerken, dass ein Eindringling in seine Systeme eingedrungen ist (Vergangenheitsform). Das muss sich ändern. All-Source-Intelligence als Mittel zur Identifizierung und Charakterisierung möglicher Eindringlinge erweist sich als leistungsfähige Methode, um Einblicke in Ihre Systeme zu gewinnen und Eindringlinge (oder Versuche, in sie einzudringen) zu erkennen. In Kombination mit der Analyse von Sicherheitsdaten stellt dies auch eine bewährte Praxis auf den Kopf, bei der man sehr selektiv vorging, welche Ereignisse Protokollsignale erzeugen, welche Signale protokolliert werden (und wie oft) und wie Protokolldateien verwaltet, zusammengestellt und analysiert werden. Der Sicherheitsexperte von heute muss ein bisschen mehr Datenwissenschaftler sein als früher und vielleicht auch mehr Datenanalyst. Wir haben uns auch mit digitaler Forensik beschäftigt, allerdings eher aus der Perspektive kleiner Systeme als aus der Perspektive von in der Cloud gehosteten, großen Unternehmensumgebungen. So oder so, in den meisten Fällen überlässt man die eigentliche Untersuchung und die Analyse der Beweise am besten den zertifizierten, geschulten, fachkundigen Computersystemprüfern. Aber als Sicherheitsexperte vor Ort kann es Ihnen helfen, ein wenig Hintergrundwissen darüber zu haben, was digitale Beweise sein könnten, wie sie analysiert werden könnten und was man daraus lernen könnte, um das Unternehmen besser darauf vorzubereiten, wenn es die Ermittler einschalten muss.