Ressourcen · 21
Triagieren Sie einen Cyber-Vorfall und sichern Sie frühe Beweise
Verwandeln Sie ein verwirrendes Signal in einen Zeitplan, Hypothesen, Entscheidungen und eine angemessene Eskalation.
Aktualisiert · 2 min
Wozu dieser Leitfaden beiträgt
- Ein nützliches Signal empfangen
- Kontext beibehalten
- Auswirkungen bewerten
- Entscheidungen organisieren
Kurzcheck
- Wer hat was, wo und wann gesehen?
- Welche Quellen oder Spuren können verschwinden?
- Welche Dienste, Konten und Daten könnten betroffen sein?
- Wer genehmigt Sofortmaßnahmen?
- Wann wird die Bewertung erneut überprüft?
Schritt-für-Schritt-Anleitung
- 1
Öffnen Sie einen Falldatensatz
Notieren Sie das Anfangssignal, die Zeit, den Beobachter, die betroffenen Systeme und den Meldekanal. Weisen Sie einen Fallinhaber und einen Stellvertreter zu.
Liefergegenstand: Vorfallaufzeichnung mit Zeitstempel.
- 2
Fakten von Hypothesen trennen
Listen Sie überprüfbare Beobachtungen, Quellen und Vertrauen auf. Nennen Sie mögliche Szenarien, ohne Herkunft oder Umfang anzugeben.
Liefergegenstand: sachlicher Zeitplan und überprüfbare Hypothesen.
- 3
Flüchtige Stoffe konservieren
Identifizieren Sie nützliche Protokolle, Warnungen, Meldungen und Systemzustände. Kopien im Rahmen interner Verfahren aufbewahren und den Zugriff aufzeichnen. Vermeiden Sie Veränderungen, die Spuren zerstören.
Liefergegenstand: Erste Beweisaufnahme und Bearbeitungsprotokoll.
- 4
Umfang und Auswirkungen bewerten
Kartieren Sie potenziell betroffene Vermögenswerte, Konten, Daten und Geschäftsreisen. Notieren Sie, was bestätigt, ausgeschlossen oder unbekannt ist und wie hoch die Kosten für das Warten sind.
Liefergegenstand: Scope-Map und vorläufige Auswirkungsstufe.
- 5
Entscheiden und eskalieren
Wählen Sie verhältnismäßige Schutzmaßnahmen, informieren Sie Spezialisten und Stakeholder im Rahmen der geltenden Anforderungen. Protokollieren Sie den Entscheidungsträger und die Begründung.
Liefergegenstand: Entscheidungsprotokoll und Kommunikationsplan.
- 6
Neu bewerten und lernen
Legen Sie die nächste Situationsaktualisierung fest, fügen Sie neue Beweise hinzu und verbinden Sie Ursachen und Lücken mit Korrekturarbeiten nach dem Abschluss.
Lieferinhalt: Datierte Aktualisierungen und gewonnene Erkenntnisse.
Managementindikatoren
| Indikator | Was es misst | Erste Aktion |
|---|---|---|
| Zeit für eine Triage | Zeit vom Signal bis zum ersten dokumentierten Scope | Eskalation klären |
| Entscheidungsverfolgung | Entscheidungen mit Zeit, Eigentümer und Begründung | Vervollständigen Sie das Protokoll |
| Beweissicherung | Kritische Quellen identifiziert und erhalten | Sammlungslücken beheben |
| Neubewertung | Hypothesen an vereinbarten Kontrollpunkten überprüft | Umfang aktualisieren |
Häufige Fallstricke
- Spurenlöschung durch vorzeitiges Handeln
- Bekanntgabe einer Ursache vor der Validierung
- Widersprüchliche Zeitpläne einhalten
- Das Versäumnis, eine Entscheidung zu datieren oder eine Annahme zu überdenken
Häufig gestellte Fragen
Ist jede Warnung ein Vorfall?
Nein. Die Triage bestimmt, ob die Beobachtungen eine formelle Reaktion rechtfertigen und kann sich ändern, wenn sich Beweise entwickeln.
Muss der Schutz warten, bis alles bekannt ist?
Nein. Verhältnismäßige Maßnahmen können den Schaden während der laufenden Ermittlungen begrenzen, sofern ihre Auswirkungen auf Beweise und Zustellung erfasst werden.
Was kann zunächst kommuniziert werden?
Bestätigte Fakten, bekannte Auswirkungen, aktuelle Maßnahmen und das nächste Update. Ursache und Umfang bleiben bis zur Feststellung vorläufig.
Offizielle Referenzen
Die Referenzen unterstützen die Methode. Passen Sie die Prüfungen an Ihren Kontext an; sie stellen keine Zertifizierung dar. Originalreferenztitel und Quelldokumente können in einer anderen Sprache verfasst sein.
