Folge 19: IT-Forensik und Incident Response im Mittelstand

00:00:00: Hallo und herzlich willkommen zu einer neuen Folge von Cloud und deutlich.

00:00:03: Mein Name ist René Stiel, ich bin der neue Gastgeber dieses Formats.

00:00:07: Ich selbst bin seit mehr als fünfzehn Jahren in der IT-Tätik beschäftige mich da primär mit den Themen IT Security und IT Compliance und freue mich zukünftig hier spannende Gäste begrüßen zu dürfen.

00:00:19: Mein erster Gast für diese Folge ist IT Forensiker und wie sein Alltag aussieht wann er gerufen wird und was dann zu tun Darüber sprechen wir nach dem Intro.

00:00:35: Willkommen bei Cloud und deutlich, dem NAPPLANTS IT Podcast für den Mittelstand!

00:00:40: Direkt aus der Praxis – Cloud, Security & Digitalisierung.

00:00:45: Wir sprechen mit Gästen die diese Themen täglich leben und bringen das Know-how eines erfahrenen IT Dienstletters in jede Folge mit ein.

00:00:52: Ich bin René Stiel, schön dass du dabei bist.

00:00:58: Damit steigen wir ein.

00:00:59: Marcel, schön, dass du da bist.

00:01:01: Stell dich gerne mal kurz vor, wer bist du?

00:01:03: Was machst du?

00:01:03: Ich habe ja schon angetesert.

00:01:04: Du bist im Bereich der IT Forensik tätig und der Incident Response.

00:01:09: was kann man sich darunter vorstellen?

00:01:12: Ja also meine tägliche Arbeit ist eigentlich das Incident Management Decoordination von verschiedenen technischen Ressourcen und natürlich dann auch die Techniken stückweit zu übersetzen ins Geschäftsführer-Management bzw in die Management Sprache um einfach in alle Richtungen darzulegen, in welcher Situation man sich befindet.

00:01:30: Aber auch entsprechend die Beweissicherung und natürlich auch die Beweisführung für entsprechende behördliche Akteure und natürlich auf die Strafverfolgung

00:01:39: dazulegen.".

00:01:41: Jetzt ist das ein sehr komplexes Feld und man hört es immer wieder in den Medien IT Forensik, Cyber Security – es gab wieder einen Vorfall.

00:01:51: Mir ging's am Anfang ähnlich, ob ich schon lange in der IT unterwegs bin.

00:01:56: Für mich war das dann immer nicht so greifbar.

00:01:58: Und ich habe mir gedacht, vielleicht können wir ja um das auch für die Zuhörerinnen und Zuhörer ein bisschen transparente zu machen uns ein kleines Fallbeispiel raussuchen wo wir uns dann einfach ein bisschen orientieren und einfach mal schauen was dich da an deinem Alltag so trifft wie du das bewertest Und was du am Ende dann auch empfehlen würdest, wie sich ein Unternehmen aufstellen sollte sozusagen um halt vielleicht vorzubeugen damit es im Zweifel gar nicht so weit kommt oder wenn es soweit kommt.

00:02:26: Wie man sich dann am besten verhält.

00:02:27: das war so bisschen mein Leidgedanke und für das fiktive Beispiel habe ich mir überlegt wir würden einfach sagen Wir haben ein mittelständiges Produktionsunternehmen drei bis vierhundert Mitarbeiter und die haben am Montagmorgen leider dann feststellen müssen, dass sie Opfer einer Security-Lücke geworden sind und damit einhergehend eine Attacke geworden sind.

00:02:51: Und es hat also alles stehen gestanden die sind verschüsselt worden und jetzt stehen halt eine Zahlungsforderung im Raum halbe Million so die Klassiker und ja nichts geht mehr.

00:03:04: und das scheint wohl schon seit dem Wochenende so zu sein.

00:03:07: Dann ist natürlich die erste Frage du bist sehr oft zu solchen Unternehmen gerufen, im Ernstfall.

00:03:16: Was sind denn dann die ersten Dinge, die du in der Regel unternimmst?

00:03:21: Wenn dieser Angriff kommt bevor du überhaupt weißt was so passiert ist oder was dann zu tun ist?

00:03:30: Ja es gibt verschiedene Intros in so einem Fall.

00:03:33: Es gibt natürlich Personen oder Unternehmen, die auf uns zukommen aus der Situation heraus wie du es gerade beschrieben hast oder entsprechend.

00:03:40: wir kennen das Unternehmen schon.

00:03:41: In dem Fall nehmen wir einfach mal den Fall vor, dass wir das Unternehmen die Infrastruktur noch nie gesehen haben.

00:03:46: Dann gibt es natürlich eine Kontaktpersonen, die bei uns sich über irgendein Kanal meldet.

00:03:49: Das kann eine Mail sein, das kann ein Telefon sein.

00:03:52: und dann fängt für mich als Koordinator die Arbeit an wo ich wirklich eine Art Anamnesebogen ausfülle, wo ich mit den Personen in den Dialoge und frage was ist passiert?

00:04:01: Die klassischen Feuerwehrfragen um einen Lagebild zu generieren, wirklich zu schauen, zu verstehen wie war der Impact?

00:04:08: Kann der Kunde schon sehen, was kann er nicht sehen?

00:04:10: Wo sind es vielleicht Hypothesen?

00:04:12: Was ist vor allem auf der Wertschöpfungskette für das Unternehmen liegen geblieben.

00:04:17: Also sprich wo drückt der Schuh, wo tut's wirklich weh, was steht also gerade wenns um Produktion oder produzierendes Gewerbe geht muss nicht unbedingt die Produktion stehen.

00:04:26: Das ist natürlich oft einhergehend, weil Anmeldungen an gewissen Systemen nicht mehr funktionieren.

00:04:32: aber die Bohrmaschine muss nicht vernetzt sein.

00:04:34: das kann gegebenenfalls noch weiterlaufen Aber tatsächlich erst mal einen grob Überblick in die Kommunikation mit den verschiedenen Stakeholders gehen.

00:04:41: das ist in erster Linie wahrscheinlich der technische Leiter der anruft Der kann mir viel über die Infrastruktur erzählen und dann geht es entsprechend mit der Krisenkoordination, War Room wie wir ihn nennen.

00:04:52: Wo wir dann die verschiedenen Entscheidungen an den Tisch nehmen und dann wirklich Aufgaben und Planetschmieden wie wir weitergehen.

00:04:59: Das geht in die Geschäftsführung über wo wir dann einfach wirklich sagen Versicherung alarmieren Datenschütze alarmieren.

00:05:05: das kann so das Management machen alles technisch was infrastrukturell und vor allem die Abschottung und vielleicht auch Lagebild erst mal generieren.

00:05:13: dass wird mit der Technik ausgemacht.

00:05:15: Wie sieht das in dem Kontext aus mit Behörden?

00:05:18: Also auch da gibt es ja, wenn man zum Beispiel eines zwei betroffen ist, Meldepflichten und Dinge die man tun muss.

00:05:24: Ist das dann auch etwas was du entsprechend übernimmst oder...

00:05:27: Genau wir sind beratend tätig im Sinne von dass wir darauf hinweisen.

00:05:30: Wir stellen die Frage in welchem Sektor der Kunde denn tätig ist und wo's dann auch sinnvoll ist entsprechend In der Öffentlichkeit die Meldung abzugeben.

00:05:38: Das ist natürlich immer ein Stück weit mit dem Datenschützer zu klären oder auch mit dem Rechtsbeistand.

00:05:44: Aber eine vorläufige Meldung zu tätigen, eine Verdachtsmeldung ist immer besser wie das nachsehen.

00:05:50: Weil das kann natürlich auch ein Stück weit rechtlich teuer werden.

00:05:53: Und würdest du sagen, dass es etwas was jeder machen kann oder jeder wissen sollte zumindest wie's geht?

00:05:59: Definitiv!

00:06:00: Man sollte sich zumindest mal mit dem Datenschützer drauf vorbereiten welche Information und welche Daten denn das Unternehmen vorhält damit man die Klassifizierung bei der Meldungen vernünftig anstellen kann Weil wenn das natürlich erst in der Situation gemacht wird, dann dauert es extrem lange.

00:06:17: Es ist natürlich auch ein Stück weit von der Forensik und der Daten- und Beweissicherungen wichtig um wirklich die Aussage nachher tätigen zu können was denn genau passiert ist.

00:06:25: aber bis dahin reicht eine vorläufige Meldung.

00:06:28: also die Verdachtsmeldung ist da der richtige Weg.

00:06:30: Nachmelden kann man jederzeit

00:06:32: Und melden heißt weil noch dasselbe wieder.

00:06:35: ja wir haben Meldepflichten meldefristen wo meld ich das denn?

00:06:40: Jetzt meine Frage.

00:06:42: Genau, das ist unterschiedlich.

00:06:44: tatsächlich es meistens Länder oder entsprechend staatlich zu tätigen kommt aber ganz auf den Sektor des Kunden an und das ist auch Datenschützer-Klassifizierung.

00:06:54: da weiß der Datenschützen meistens mehr.

00:06:56: Okay Das ist ja schon mal sehr hilfreich an der Stelle sowas dann zu wissen.

00:07:01: jetzt hats geklingelt du hast deine Anamnese gemacht hast so deine Infos eingeholt ... gehe ich ja mal voraus, geht so ein bisschen ans Eingemachte.

00:07:11: Dass du wirklich dann auch mit den technischen Kollegen schaust... Was ist denn jetzt eigentlich passiert?

00:07:17: Mit was haben wir es denn eigentlich zu tun?

00:07:19: Wie groß ist der Schaden?

00:07:20: Was ist im Zweifel noch zu retten?

00:07:22: und in unserem Fallbeispiel war's ja so Monatmorgen alles eingeschaltet leider irgendwie alles verschüsselt.

00:07:29: offensichtlich waren die Angreifer ja schon länger im Netz unterwegs.

00:07:34: Kannst Du da vielleicht mal auch auf das Beispiel adaptiert so deine Erfahrungen mitgeben?

00:07:39: Wie lange dauert das denn in der Regel?

00:07:42: Also auch, was du aus der Forensik dann herleiten kannst.

00:07:44: Wie lang ist so ein Angreifer im Vorfeld schon unterwegs und in welchen Etappen läuft es ab?

00:07:49: Weil ich glaube ja dass die nicht so klicken das am Sonntagabend oder am Montag ist das soweit.

00:07:55: Das ist ja in der Regel wie ich es kenne meistens längerer Prozess aber da gibt's ja auch dann die verschiedensten Abstufungen.

00:08:00: Ich glaub' ich auch mal ganz interessant sowas zu wissen oder zu hören.

00:08:04: Korrekt, also die Ransomware an sich ist oder muss nicht unbedingt der ganze Angriff gewesen sein.

00:08:09: Das ist meistens so die Detonation der großen Bombe um gewisse Antiforenzigmaßnahmen zu betreiben und Beweise zu vernichten.

00:08:16: das kann natürlich auch ein gezielter Angriff sein.

00:08:18: eine ransomware gibt es ja entsprechend auch SS Service wie man das so schön beschreibt.

00:08:23: aber es gibt natürlich auch Akteure die auf andere Daten oder Informationen aus sind, Beispiel Spionage die dann sich über einen längeren Zeitraum in der Infrastruktur aufhalten und ganz zum Schluss wenn sie alles haben.

00:08:35: Oder den Verdacht haben Sie sind aufgeflogen entsprechend den roten Knopf drücken und die Ransomware los schicken um einfach alles zu vernichten.

00:08:41: also diesen richtigen Zeitpunkt oder so eine richtige Anzahl an Stunden zu sagen ist äußerst schwierig weil man nicht direkt weiß ob es entsprechend Spionages oder wirklich nur die Double Extrusion für entsprechende Erpressungen auf Lösegeld und natürlich auch die Datenveröffentlichung liegt.

00:08:58: Man sieht aber alles, also das kann tatsächlich über Wochen oder auch mehrere Wochen bis zu einem Monat sein.

00:09:03: Das schnellste was ich tatsächlich gesehen habe waren vierundhalb Stunden.

00:09:06: Das ist dann eher der Weg im Sinne von.

00:09:09: Ich komme in die Infrastruktur relativ zügig rein weil beispielsweise die Perimeterfeier wollen.

00:09:14: eine große Lücke hat seit zwei Monaten nicht gepatchedes Und dann wird sofort ein Stück Daten aus der Infrastruktur herausgezogen.

00:09:21: Wenn man an der Perimeter-Firewall ist, keine Segmentierung da ist kann man auch in der Microsoft Welt relativ schnell quer durch die Infrastruktur springen und sich natürlich die hohen Privilegien mitholen und entsprechend Datenex filtrieren.

00:09:34: Dann wird der große Knopf gedrückt einfach um den Druck und vor allem auch die Double Extusion durchzuführen.

00:09:42: für die jetzt nicht so technisch unterwegs sind, wenn du vielleicht den Begriff Double Extrusion nochmal kurz erläuterst.

00:09:51: Gerne!

00:09:52: Das ist tatsächlich der doppelte Weg der Erpressung.

00:09:54: also in der Ransom-Währsprache geht es natürlich darum erstmal die Daten zu verschlüsseln In der ersten Linie damit Druck aufzubauen.

00:10:01: hey wenn Du entschlüsselt möchtest dann melde Dich doch bitte und zahle diese fiktive fünfhunderttausend Euro.

00:10:06: Die Preise waren schon mal in der Vergangenheit höher aber dadurch das natürlich mehr Masse geworden sind auch die preise gefallen.

00:10:13: Und natürlich dann wenn man bezahlt hat ist nicht direkt klar, ob natürlich der D-Krypter auch sauber funktioniert.

00:10:19: Weil Verschlüsseln ist technisch relativ simpel aber Entschlüsseln immer so ein bisschen auf gut Glück je nachdem welche Art von Verschlüßelung läuft.

00:10:26: und in der zweiten Extusion wird dann einfach nochmal gesagt hey jetzt hast du zwar bezahlt Aber wie schaut es denn aus?

00:10:31: Wir haben hier auch ein paar Gigabyte Daten rausgezogen.

00:10:34: Wenn Du nicht möchtest dass die veröffentlicht werden dann bitte noch mal zahlen.

00:10:37: Und das ist genau diese doppelte Erpressung.

00:10:41: Spannend und erpressen oder zahlen führt mich dann eigentlich so zu meinem nächsten Punkt auch schon.

00:10:49: Das Ganze, also wenn man betroffen ist, ist das ja Stress.

00:10:52: Ich glaube ich können wir alle nachvollziehen.

00:10:55: Dann alles was irgendwann mal geregelt wurde ist nicht mehr gereglt und man muss sehr schnell Entscheidungen treffen unter Druck, unter Zeit.

00:11:06: Da geht es dann auch oft, wie wir gerade schon gesagt haben um Geld.

00:11:09: Und die große Frage, glaube ich, die sich viele stellen ist immer, na ja soll ich jetzt zahlen?

00:11:16: Oder versuchen wir einen anderen Weg?

00:11:19: und ich zahle halt nicht so.

00:11:21: Ja also der Druck den man dahinter verspürt ist real und verständlich.

00:11:26: Gerade für die Geschäftsführer gibt's mal hitzige Diskussionen wo tatsächlich die Frage gestellt wird bezahlen oder eben nicht?

00:11:34: Meine klare Devise ist erst mal zu schauen, sind wir oder wie weit sind wir denn noch handlungsfähig.

00:11:39: Also diese Anamnese die ich ganz am Anfang angesprochen habe beinhaltet natürlich auch die Fragen welche Infrastruktur ist dann auch laufähig?

00:11:45: und da gibt es natürlich immer noch die große Hoffnung dass irgendein Offline-Backup irgendwo rumliegt.

00:11:50: das kann Magnetsicherung sein also Band Sicherung oder tatsächlich einfach eine Offline gehalten nass oder wirklich abel storage der irgendwo explizit für solche angriffe weggestellt wird oder auch investiert wurde.

00:12:05: das Das zahlen ist immer erst mal beiseite zu schieben weil dass zahlen auch sehr viel rechtliche themen mitbringt.

00:12:11: gerade in der heutigen zeit der politischen spannungen hat man auch relativ zügig dann mit sanktionen und playern in diesem ransomware geschäft zu tun die Instaaten sitzen die sanktioniert sind.

00:12:22: wenn dorthin geld fließt ist es immer mit einer eigenen Anzeige, Selbstanzeige zu versehen und ich glaube nicht dass man sich neben dem Stress noch mit Behörden auseinandersetzen möchte um sich auch noch zurechtfertigen warum denn Geld geflossen ist.

00:12:37: Wichtiger Hinweis an der Stelle wir machen keine Rechtsberatung das nur als kleiner Disclaimer sondern geben einfach nur mal Erfahrungsberichte und Hinweise wieder.

00:12:44: absolut

00:12:46: ja sehr sehr spannend also und jetzt haben wir da schon ein bisschen mal drüber gesprochen was du eigentlich so in deinem Alltag machst, also erstmal alles irgendwie versuchen zu koordinieren mit den entsprechenden Abteilungen Führungsebenen und so weiter sprechen.

00:13:04: Alles sammeln und in dieses Sammeln vor allem diese forensische Analyse.

00:13:08: da würde ich gerne auch nochmal ein bisschen tiefer mit dir einsteigen wollen weil für mich ist das auch immer... Das wird sich immer schwer nach TV-Krimi an Forensik.

00:13:17: jetzt kommt der Spurensammler Forensiker.

00:13:21: Aber ich glaube, das ist ja auch ein sehr spezielles Feld in dem man sich da bewegt.

00:13:26: Für viele, auch wenn wir schon alle sehr lange in der IT unterwegs sind doch nicht so greifbar weil es ja doch eine ganz spezielle Nische ist.

00:13:33: und wenn du da vielleicht uns mal einen kleinen Einblick geben möchtest was bedeutet das dann eigentlich?

00:13:40: Wenn man sagt Wir machen jetzt hier Forensik Spurensicherung wie läuft denn sowas ab?

00:13:46: können wir gerne wieder unser Fallbeispiel mit den Trenach-Mitarbeitern adaptieren, gibt es da Standards?

00:13:55: Oder macht man das immer individuell und wie weit kann das gehen bis hin zu der Aussage dann okay ist alles verloren oder ein Teil können wir noch retten.

00:14:04: Und wir können grob nachvollziehen wer das war wo das hingeht.

00:14:09: Wie läuft das vielleicht auch im Zusammenspiel mit den Behörden?

00:14:11: Das ist ja glaube ich auch ganz wichtig, dürft ihr was löschen, dürfte nichts lösen soll die Geschichte.

00:14:15: Ich glaube dass Ein Punkt über den wir an der Stelle mal reden sollten.

00:14:23: Die klassische, ja dreihundert Mann Unternehmungsgröße ist oft eine westlichen Welt.

00:14:30: einfach ne Microsoft Umgebung natürlich mit ein paar Inselösungen die vielleicht auch mal ein Stück weit in die Linux Richtung abbiegen.

00:14:36: aber im Großen und Ganzen finden wir sehr oft Microsoft Domain vor.

00:14:40: das sind dann meistens Ne Hybridstellung Mit Cloud Infrastruktur wobei Ransom wäre natürlich auf die lokale Infrastruktur abzählt.

00:14:48: Wir untersuchen natürlich auch die M.DreysX-Fünfwelt, das gehört dazu weil natürlich nichts schlimmer ist als ein Schläfer zu haben der dann irgendwann in zwei Wochen im Wiederaufbau entsprechend wieder aktiv wird und die Party streikt von Neum.

00:15:00: aber wir schauen uns natürlich primär die lokale Infrastruktur an.

00:15:04: Dazu gehören natürlich die ganzen IDR Lösungen wirklich die AV-Lösung die zentral gemanagt werden.

00:15:10: sind die Locks vorhanden können wir sie uns ziehen.

00:15:13: Active Directory als Knotenpunkt ist natürlich immer äußerst interessant ist natürlich immer schwierig, was denn noch Funktional ist.

00:15:19: Wenn wirklich eine Ransom-Ware einmal durchs Netzwerk fliegt und hat wirklich alle Infrastrukturteile einmal ordentlich durch die Mangel gedreht dann kann das schon mal unter Umständen auch in der Beweismittelsicherung zu Schwierigkeiten führen weil einfach klassisch an Onboard vom Microsoft die PowerShell so nicht mehr funktioniert wie sie funktionieren soll weil einfach Bestandteile verschlüsselt sind.

00:15:41: Aber indirekt.

00:15:42: schauen wir uns wirklich einfach die Event-Locks von verschiedenen Systemen an.

00:15:45: Das geht bis runter zu den Clients, oft ist das Victim PC bzw.

00:15:50: System oft als Einstiegssystem der Klein zu sehen.

00:15:54: Sprungpunkt ist meistens natürlich irgendein exponierter Service aber man schaut dann einfach als Angreifer schon mal ins Netzwerk rein um die hohen Privilegien einzusammeln.

00:16:03: und das ist so der Herr!

00:16:06: die Nadel im Heuerhaufen, die wir suchen.

00:16:07: Es ist nicht immer ganz so einfach den Einstiegskleint oder auch den exponierten Service auszumachen wobei der Einstiecksvektor oft zu identifizieren ist.

00:16:16: aber den Sprung vom Einstiefsektor auf die Infrastruktur ist nicht einmal ganz so rekonstruiert.

00:16:23: und da ist das Problem, dass einfach das Lockvolumen und die Retention von den Locks auf allen Systemen also egal ob das Windows ist oder irgendwelche Security Software dass wir da einfach oft an Limits stoßen, obwohl wir eigentlich heute in der Zeit sind wo Festplattenspeicher nicht mehr so die große Rolle spielt.

00:16:40: Da reden wir eher von Arbeitsspeichern der gerade durch die Decke geht.

00:16:43: aber das Speichern von LOX gerade für die Beweissicherung und die Beweisführung ist ein Riesenthema.

00:16:52: Und Beweißsicherung, Beweisführung heißt tatsächlich proaktiv.

00:16:57: also ich will so bisschen auf den Punkt raus.

00:16:58: auch was kann der Kunde am Ende dann machen?

00:17:02: Klassisch sage ich immer Stecker ziehen.

00:17:05: Im Sinne von nichts geht mir ins Internet, dass keine Kommunikation mehr stattfinden kann aber im Idealfall erstmal nichts ausschalten weil wir meistens ja noch nicht wissen was ist relevant oder was ist nicht relevant.

00:17:18: also das vielleicht auch nochmal ein Punkt den du gerne mal kurz erläutern darfst.

00:17:26: Es

00:17:26: gibt klassische Do's and Downs, also das System ausschalten geht nicht so ganz gut mit der Beweismittel-Sicherung.

00:17:34: Ein Herr bei flüchtiger Speicher ist natürlich dann entsprechend ohne Strom und somit auch die Daten weg gerade wenn gewisse Mechanismen des Angreifers einfach im Arbeitsspeicher laufen, die keine Hinterlassenschaften auf der Festplatte haben und natürlich wenn der Stecker gezogen wird LAN oder Netzwerk.

00:17:52: WLAN kann natürlich gerne deaktiviert werden, eine klassische Isolation aber ausschalten geht natürlich nicht und alle Änderungen an Systemen wo entsprechend Hinweise zu sehen sind in meinem Vier-Augensystem durchführen und auch eine gewisse Protokollierung weil das natürlich auch für die Beweismittelsicherheit die Chain of custody entsprechend wichtig falls das Ganze natürlich in Richtung Behörden und ja vor allem der Nachverfolgung der Straftäter dann nachher auch vielleicht mal vor Gericht geht.

00:18:21: Es ist sehr selten, aber die Polizei und andere Behörden da draußen hätten natürlich gerne den Beweis das die Beweismittel nicht verändert worden sind.

00:18:29: Da gibt es dann spezielle Verfahren, die ihr dann habt oder du mit deinem Team dann hast, wie ihr sicherstellen könnt dass ihr die Lockdown zum Beispiel dann wegsichert und das so macht, dass es nicht verändert werden kann?

00:18:43: Genau!

00:18:43: Das fängt wie gerade schon gesagt bei der bei der Administration in dem Vorfall an, dass wirklich auch das IT-Team vom Kunden im Vieraugensystem arbeitet.

00:18:52: und sobald sie uns die Beweismittel einsammeln mit entsprechenden Tools für alle Distributionen da draußen, die es so gibt kann natürlich dann zu uns hochgeladen werden über die Beweismittelplattform.

00:19:05: Und da gibt's dann entsprechend eine Chain of Custody.

00:19:07: wie den Namen schon sagt ist ne kleine Hashing Chain, die da abgebildet wird und dann sind die Daten auch im Transfer und Address entsprechend Ja sicher beziehungsweise im Sinne von, dass die Chain of Custody nicht gebrochen wird.

00:19:19: Wir häschen das einmal beim Hochladen und sobald es in die Forensik übergegangen ist, beim Download wird auch nochmal geprüft ob das beim Hochladen und beim Download die gleichen Daten sind.

00:19:30: Okay spannend auf jeden Fall!

00:19:32: Und

00:19:33: hast du aus der Erfahrung raus?

00:19:36: ich sag mal eine Schnittmenge wenn Du jetzt zehn Fälle betreust kannst Du sagen In fünf von zehn können wir noch was retten Und die anderen fünf haben leider Pech gehabt, oder kannst du das nicht so pauschalisieren?

00:19:50: Ich würde sagen es ist immer individuell.

00:19:52: Retten im Sinne von Systeme retten oder die

00:19:56: Beweismittel-Systeme kommen wir dann gleich noch drauf.

00:19:59: Die Beweasmittel man kommt ich sage immer mal einen saloppgesagten Prozentsatz.

00:20:05: an die siebzig, achtzig Prozent der Beweisführung kommt man ran was ich eben schon einmal kurz erwähnt hatte Der Einstiegsvektor ist schnell zu finden.

00:20:16: Aber wie dann nachher später in der Infrastruktur weitergearbeitet wurde, über welchen Server oder Klein die Daten exfiltriert wurden kommt immer ein Stück weit drauf an welche Logs denn vorhanden sind.

00:20:28: Das wir es zu hundert Prozent aufdecken können ist meistens nicht möglich also ganz selten.

00:20:33: Also da würde ich tatsächlich sogar noch runtergehen.

00:20:35: einer von zehn vielleicht wo man wirklich eins zu eins von der Payload, die der Angreifer genutzt hat das Tooling auch entsprechend herunterladen kann oder auch entsprechend wirklich den kompletten Weg durch die Infrastruktur mit der Datenmenge, die vielleicht auch exfiltriert wurde.

00:20:51: Das ist vielleicht einer von zehn Fällen wo man das wirklich eins zu eins nachvollziehen kann.

00:20:57: Was ja auch schon ein bisschen erschreckend ist wenn man es mal ganz genau nimmt.

00:21:00: also da sieht man ja aber auch wie intelligent die Angreiver heute arbeiten.

00:21:08: Ich denke, da sind wir uns beide auch einig.

00:21:10: KI, der Freund Feind und Helfer.

00:21:14: Und so wie wir KI nutzen auf der guten Seite, sage ich mal genauso, nutzen die Angreifen natürlich heute auch KI.

00:21:20: Die Angriffe werden immer ausgeklügelter und dann irgendwo immer etwas schwieriger nachzuvollziehen.

00:21:27: Wir sprechen gleich noch über was kann ich denn als Unternehmen machen um gewisse Dinge zu verhindern?

00:21:33: Aber wir sind ja noch in unserem Fallbeispiel jetzt haben wir quasi die Kette ... schon durchlaufen.

00:21:39: Du hast das Erstgespräch geführt, du hast deine Spuren gesammelt,... ... du hast gewisse Dinge koordiniert... und du hast ebenso im Nebensatz schon gesagt, meinst du eher... ... Locks zu sichern oder auch dann Daten zu retten, Systeme zu retnen?

00:21:54: Das ist eigentlich auch noch mal ein spannender Punkt über den wir hier nochmal kurz reden sollten!

00:22:00: Wie kann das denn ablaufen wie jetzt in unserem Fallbeispiel?

00:22:03: ich bin jetzt betroffen, bin verschlüsselt nichts geht mehr.

00:22:07: die Forensik is weitestgehend durch und da muss ja irgendwann wieder, muss es ja wieder losgehen.

00:22:15: Was erlebst du da häufig oder wie macht ihr das dann in verschiedenen Schritten dass der Kunde zumindest ein Stück weit dann wieder in irgendeiner Weise

00:22:27: was tun können?

00:22:28: Ja also gerade die Koordination.

00:22:30: Forensik braucht natürlich ein Stück weit Vorlaufzeit, also man kann natürlich wenn genug Hardware oder Ressourcen vorhanden sind auch den Wiederaufbau parallelisieren.

00:22:39: zur Forensik aber nicht immer hat man die Möglichkeit.

00:22:43: Also wenn die Forensiken stückweit zeitlichen Vorsprungen haben ist das sehr schön und man in Richtung Geschäftsführung entsprechende Informationen geben muss.

00:22:52: für den Wieder-Aufbau ist es natürlich wichtig dass man aus meiner Perspektive beratend gesehen niemals Systeme eins zu eins mitnimmt.

00:22:59: Man kann, wenn die Forensik entsprechende Hinweise hat wann der Angriff tatsächlich begonnen hat, Systeme aus dem Backup nutzen aber auch nicht eins zu eines dass man sagt wir nehmen diese Systeme, pflanzen sie im neuen Netzwerkssegment wieder ein und dann können die wieder arbeiten.

00:23:13: Wir gehen ganz klassisch hin und sagen das sind Datenspender also wirklich wie ein Organspender wo wir die wichtigen Informationen rausnehmen Aber das Ganze auf frischen Betriebssystemen wieder etablieren.

00:23:24: Und wir sprechen da ganz klassisch in einem Zonenkonzept.

00:23:27: Netzwerkzonen, dass wir sagen alles was rot und alt ist kommt in die rote verseuchte Zone oder bleibt dastehen wo es bis dahin gelebt hat Was wir vorgefunden haben in dem Ransomware Vorfall, dann haben wir die gelbe Zone wo entsprechende Systeme reinkommen, die vielleicht aus einem Backup-System kommen oder für den Transfer in die grüne Zone benötigt werden.

00:23:45: Zwischen Rot und Gelb gibt es keine Kommunikation.

00:23:48: Und zwischen Grün und Gelbs ist dann die neue Grüne Wiese, die wir schaffen.

00:23:53: Da kommen alle geprüften oder auch neu installierten Systemen rein.

00:23:57: Zwischengelb und Grün können unter Umständen einzelne Systeme mal benachbart werden aber nur auf wirklich Protokollebene segmentiert, dass da vielleicht mal gerade ein paar Daten rüber kopiert werden.

00:24:08: Aber eben keine flache Hieraschie geschaffen wird, das man auch wirklich einer Nachinfizierung einfach aus dem Weg gehen kann.

00:24:16: und gelb also.

00:24:17: ich höre immer wieder den Begriff Waschstraße.

00:24:21: Gelb ist dann so wie du es jetzt erzählst aus meiner Warnung heraus die sogenannte Wasch-Straße oder Waschstrasenzone.

00:24:30: Ja, man kann in der gelben Zone auch die Waschstraße aufbauen.

00:24:33: Oft ist es genau so ein Transferfenster zwischen gelb und grün.

00:24:38: eigentlich ist sogar noch mal ein dediziertes System im Sinne von.

00:24:41: oft haben ja auch Personen oder Mitarbeiter Daten auf ihren Geräten trock noch lokal gespeichert Und die Kleinse werden auch gänzlich neu ausgerollt egal wie der Zustand davon ist das einfach in der Notwendigkeit der Situation durchzuführen Excel-Tabellen, irgendwelche PDFs dort im Lokal liegen.

00:25:04: Dass man die dann wirklich einmal einsammelt und natürlich strukturiert einsammt, die entsprechend noch mal prüft in der Waschstraße.

00:25:10: Das wird entsprechend mit einem Toolset eine Handvoll AV-Lösung durchgeführt.

00:25:16: Natürlich auch mit automatischen Filtern.

00:25:18: Und dann kann die Daten wieder in die Grüne Welt übergezogen

00:25:21: werden.

00:25:22: Dann gibt es irgendwann quasi den Handover wo du dann sagst okay wir sind jetzt wieder in dem Zustand Grüne Zone ist soweit aufgebaut.

00:25:33: Daten sind bereinigt, Daten sind übertragen.

00:25:37: Infrastrukturen gehärtet entsprechend und dann gibst du das irgendwann frei.

00:25:43: oder wie läuft es dann?

00:25:44: Also ab wann kann der Kunde dann wieder in quasi normal Betrieb übergehen?

00:25:50: Es ist zeitlich immer ein bisschen schwierig zu sagen also... Ziel ist es tatsächlich, plus-minus in einer Woche ein Notbetrieb herzustellen.

00:25:57: Also in der grünen Zone parallel zur Forensik entsprechend die Basisinfrastruktur wieder aufzubauen, eigenes Netzwerk, eigene Active Directory und alles was so an Notbetrieb lokal benötigt wird.

00:26:09: Das sind natürlich dann immer situativ mit dem Kunden auch aus Incident Manager Sicht zu bewerten.

00:26:14: Was braucht er denn für Software?

00:26:16: Für Infrastrukturbauteile um die Produktion aus Beispielen wieder an Laufen zu bekommen.

00:26:21: Oft ist es nicht die Produkion, die problematisch wird sondern die Logistik, die dahinter steckt und das muss dann einfach wirklich geklärt werden.

00:26:27: wenn der Kunde sich vorbereitet hat für den Inzident oder ein Inzient Dann kann man da auf einem gewissen ja auf ein gewisses Knowledge zurückgreifen was denn prozessual äußerst wichtig ist Und das wird natürlich dann ja priorisiert im Wiederaufbau Zeitlich.

00:26:42: wie gesagt eine Woche für den Notbetrieb ist so unser persönlicher Anspruch Und eine Ransomware sollte nach zwei spätestens drei Wochen entsprechend wieder.

00:26:53: langsam in den normal Betrieb übergehen.

00:26:55: Wobei der Normalbetrieb?

00:26:56: das kann ein Stück weit auch länger dauern, je nachdem wie viel Customization in Infrastruktur notwendig

00:27:01: ist.

00:27:01: oder könnte ich mir vorstellen wenn Behörden dann doch mit dem Spiel sind muss man da auch noch mal aufs Go warten?

00:27:06: Ja also klar kommt auf den Sektor an wo er kundetätig ist definitiv richtig ausgebremst.

00:27:12: wird man da eigentlich nicht dass es eher so ein stück Forensik Nacharbeit die vielleicht noch getan wird wobei Ich hatte tatsächlich nur nicht einmal die Situation dass unsere Forensic nicht ausgereicht hat.

00:27:23: oft will die Behörde noch mal die Beweissicherung haben, also eins zu eins Kopien.

00:27:27: Aber ob sie tatsächlich im Hintergrund nochmal die Beweisführung prüfen, sei mal dahingestellt?

00:27:32: Ich glaube das ist eher nur so für die

00:27:33: Akten.".

00:27:35: Und jetzt haben wir ja mal relativ genau im Detail besprochen was in so einem fiktiven Szenario dann alles passiert und wie ihr vorgeht.

00:27:47: aber oft ist es ja auch so dass manche Dinge ja hätten vermieden werden können.

00:27:54: Was würdest du denn sagen, was siehst du denn aus deiner Erfahrung heraus für häufige klassische Fehler?

00:28:02: Nennen wir es mal Optimierungspotenziale.

00:28:07: Die hätten gemacht werden können um gewisse Angriffe zu verhindern oder dann ja eine Verschlüsselung letztlich komplett zu vermeiden.

00:28:17: Ja bleiben bei dem Bremsenware Thema ist glaube ich ein bisschen greifbarer.

00:28:22: Was wir tatsächlich sehr oft sehen, sind gewachsene Strukturen.

00:28:27: Wo einfach aus Ewigkeiten die Active Directory immer wieder migriert wurde statt wirklich mal ein Stück weit zu rotieren aber eher eine neue System aufzusetzen und wirklich eine saubere Migration durchzuführen nicht nur das OS-Level und das Schematat zu updaten.

00:28:46: Das tut weh weil oft aus alten Tagen noch Funktionen genutzt werden einfach nicht mehr benötigt werden.

00:28:54: In produzierenden Gewerben ist es sehr oft so, dass das... die OT ein Stück weit in die IT mit rein ragt.

00:29:03: Einfach so ein bisschen bildlich gesprochen, dass verschiedene Knotenpunkte aus Altsystems sich doch noch an der IT melden müssen weil irgendwelche Daten ausgetauscht werden müssen.

00:29:14: Irgendwelche Protokolle und das ist oft so ein Thema, dass Altsystem immer wieder problematisch werden.

00:29:19: wenn Altssystem im Spiel sind, Legacy Systeme so zwei tausend acht und jünger im zeitlichen gesehen dann wird es schon ziemlich trivial für den Angreifer sich quer durch die Infrastruktur schnell durch zu bewegen, weil dann kann man einfach nicht mehr diese Härtung herbeiführen, die man mit modernen Betriebssystemen schaffen kann.

00:29:38: Großes Thema ist tatsächlich das Administrationsverhalten.

00:29:45: speziell auf das Active Directory-Administrationstearing.

00:29:49: was eigentlich aussagt dass man für gewisse Tätigkeiten verschiedene Berechtigungsabstufungen baut.

00:29:56: Ist so das Nonplus Ultra wenn man es umsetzen kann.

00:29:59: aber einfach nur dieses Administrationsverhalten sauber zu etablieren und auch zu leben würde dem Angreifer schon viel Möglichkeiten wegnehmen, weil einfach oft der Bild-in-Domain-Administrator für Supportanfragen genutzt wird.

00:30:15: Und wenn er sich einmal an den Clients angemeldet hat dann bleibt er dort relativ lange.

00:30:20: als Fingerprint liegen kann der Angreifer sich ganz entspannt den Hash mitnehmen und sich ein paar Stunden, ein paar Tage in die Ecke setzen.

00:30:29: Den Versuchen auszurechnen Und dann kommt er einfach entspannt zurück und kann sich durch die Infrastruktur bewegen.

00:30:35: weil jeder weiß Der Administrator wird selten rotiert Vor allem der Bild-In-Administrator.

00:30:40: Das ist so einen Riesenmanko.

00:30:41: Also man sollte da klassisch wirklich für Support Server, Clients und hochprivilegierte Systeme Active Directory Z-Witzierungstelle wirklich ab und gesonderte privilegierte Konten haben, die auch nur für diese eine Tätigkeit genutzt

00:30:56: werden.

00:30:59: Und ein Punkt fällt mir jetzt da gerade noch ein.

00:31:03: Wie siehst du das im Thema Backup?

00:31:05: Weil auch das ja immer mal wieder in solchen Verschlüsselungsattakten gerne gemacht wird, dass der Angreifer ja sagt System ist das Eine oder Systeme ist das eine.

00:31:16: aber mein primäres Ziel ist erstmal das Back-Up damit der Kunde überhaupt nicht in der Lage ist dann irgendwas zurückzusichern oder ähnliches.

00:31:26: Wie hast du da Erfahrungen sammeln dürfen?

00:31:29: Oder auch vielleicht Empfehlungen, was man tun sollte?

00:31:32: Ja verschiedene Situationen also.

00:31:34: tatsächlich probiert der Angreifer natürlich die Krono-Wählen zu finden und dazu gehört natürlich erstmal das Hochprivilege dieses Themen und natürlich dann auch zustören für die Wiederherstellung damit auf jeden Fall die Erpressung zum Erfolg führt wenn die Erpresse Bestandteil des Geschäftsmodells der angreiver ist.

00:31:50: Ja, die Backup-Lösung sollte auf jeden Fall von einem Fachanwender beziehungsweise auch ein Fachberater eingerichtet werden und vor allem der Zeit.

00:32:00: Vor allem der der Technologie entsprechend eingerichtet sein.

00:32:03: also ich frage mich tatsächlich oft wann wir aufgehört haben in der IT auf Band zu sichern für wirklich den letzten den letzten ja das letzte kleinste Wahrscheinlichkeit einer ... Totalkatastrophe auszumerzen.

00:32:18: Das habe ich tatsächlich schon oft gesehen, dass ... ... ein Nass in der Ecke stand und dann gesagt wurde das unser Backup,... ... das tut dann einfach wenn er im IT-Herz weh... ... werden dann einfach so Grundprinzipien verletzt werden.

00:32:29: Und natürlich Immodable Backup ist so das Beste was man tun kann,... ... es ist natürlich auch mit einem bisschen Kosten verbunden,... ... aber ich glaube, wenn man mal einen Totalausfall... ...und die Wertschöpfung des Unternehmens sieht,... ...dann sollte man das als Investitionen tätigen?

00:32:44: Ja!

00:32:46: Investitionen ist auch noch ein schönes Stichwort für meine nächste Frage.

00:32:51: Du hast dir dann auch das eine oder andere Mal mit Versicherungen nämlich an Kontakt, weil man das ja auch immer mal wieder hört.

00:33:00: Wir haben eine IT-Versicherung wie es hat angefangen.

00:33:04: also für meinen Punkt ist es die Versicherung macht schon viel setzt aber eben halt auch voraus dass gewisse Maßnahmen seien sie technischer Natur oder organisatorische Natur dann auch umgesetzt wurden.

00:33:16: Also ich will nochmal auf diesen Punkt Investitionen hinaus, wie siehst du das da?

00:33:24: Ja die Cyberversicherung ist ein großes Thema.

00:33:26: also es gibt ja verschiedenste Arten von Versicherungen.

00:33:30: aber jetzt primär hierfür ist die Cyber-Versicherung natürlich die große Frage und da findet auch eigentlich in der Aufnahme für eine Versicherung auch eine Anamnese statt wo man einfach wirklich darlegen muss, was man in Infrastruktur vorfindet oder momentan hat.

00:33:47: Welche Maßnahmen entsprechend gegen Cyberattacken vollzogen wurden um überhaupt eine Versicherbarkeit herzustellen?

00:33:54: Die Partnerkunden die entsprechende Versicherheit hergestellt haben werden natürlich Ja.

00:34:03: da gibt es natürlich eine große Voraussetzung welcher Forensiker und welcher Incident Responder entsprechend arbeiten darf.

00:34:10: oft sind ja auch an der polize mit beschrieben.

00:34:13: Also wirklich, da steht ein Unternehmensname mit drin.

00:34:16: Manchmal sind die aber relativ frei.

00:34:17: Wir hatten jetzt auch tatsächlich einen Kunden... Da war eine Firma eingetragen in die Polizei.

00:34:23: Da gab es aber keinen Kontakt hin und dann wurden wir entsprechend mit aufgenommen, musste mit der Versicherung geklärt werden ob wir dann auch arbeiten und leisten dürfen damit auch die Versicherbarkeit bzw.

00:34:32: die Versicherung auch die Kosten trägt.

00:34:34: das ist dann auch kein Problem also dass sie so leben in der Lage im Sinne von Gefahrenverzug dann eher handeln statt das Nachsehen haben.

00:34:43: Also würden wir schon dazu raten, dass man wahrscheinlich mal seine Versicherungspolize einmal nochmal liest oder sich mit dem Versicherer einmal austauscht und noch mal hinterfragt.

00:34:56: Gibt es da Bedingungen die wir erfüllen müssten damit wer Versicherbarkeit herstellen oder im Ernstfall dann auch tatsächlich versichert sind?

00:35:06: Ja vor allem die Reaktionszeiten sind wichtig also wirklich die Meldepunkte.

00:35:11: wo muss ich mich hinwählen in der Versicherung?

00:35:13: Bis wann muss ich gemeldet haben?

00:35:14: Also so meistens in der Polizei beschrieben auf zeitlicher Ebene, dass man innerhalb von zwölf, vierundzwanzig Stunden gemeldete haben muss.

00:35:21: Ansonsten kann die Versicherung sagen wir bezahlen nicht.

00:35:26: War es für alle natürlich nicht wollen?

00:35:28: Nein.

00:35:28: Daher glaube ich ein sehr guter Hinweis.

00:35:31: auch das und jetzt haben ja verschiedenste Zuhörern und Zuhöhrer unter anderem auch IT-Verantwortliche, IT-Leiter, Geschäftsführer Wenn du jetzt so zwei drei Punkte hättest, die du an einer solchen Führungskraft entsprechend mitgeben würdest in vieler Dahinsicht.

00:35:50: Hast du da irgendwie so top drei Punkte?

00:35:54: Die du nennen kannst, wo du sagst aus deiner Erfahrung A was könnt ihr präventiv solltet tun wie soll du euch vorbereiten welche Verantwortlichkeiten habt ihr vielleicht auch?

00:36:05: und B ja Wie solltet ihr vielleicht über den Tellerrand hinaus euch auch noch ein bisschen mit dem Thema beschäftigen?

00:36:14: Solche Dinge, die mir da irgendwie in meinem Kopf dann rumgehen.

00:36:21: Wie siehst du das?

00:36:22: Die erste Frage ist natürlich das Management ein Stück weit vorzubereiten.

00:36:27: also wirklich in einer Krisensituation wie du ganz am Anfang gesagt hast es oft Chaos dass tatsächlich einfach mal routiniert drüber nachgedacht wird ohne in der Situation wirklich zu stecken.

00:36:38: Wie kommen wir an die Entscheider?

00:36:40: Welche Entscheide kommen mit ins Boot.

00:36:42: Da rede ich dann von Geschäftsführung, vielleicht auch Stellvertreter der IT-Entscheider, Infrastruktur und die wichtigsten Personen.

00:36:50: Die sollten sich auf jeden Fall schon mal im Unternehmen abstimmen wenn die Situation eintritt, dass dann nicht der Headless Check Mode eingeschaltet wird und alle auf einem Kreis sondern wirklich einigermaßen koordiniert die Aufgaben verteilt werden.

00:37:03: Das hatte ich ganz am Anfang gesagt.

00:37:04: Management soll sich so ein bisschen um die Meldepflichten und vielleicht auch die Versicherung Themen kümmern.

00:37:10: Und dann geht es natürlich in die Technik um entsprechend Beweismittelsicherungen Beziehungsweise sicherzustellen, dass keine Beweise vernichtet werden bis dann entsprechend der Responder mit an Bord ist.

00:37:20: Das sind halt meistens so am Crown Zero da vergehen schon mal eine Stunde bis dann wirklich die Arbeit los gehen kann, bis diese Situation sofort gefunden wird.

00:37:29: Proaktiv das ist ein bisschen eher Fragen in der Unternehmung stellen also im Sinne von wie handeln wir wenn es eintritt?

00:37:37: Das sollte auf jeden Fall.

00:37:39: Vielleicht soll es auch ein Tabletop-Exercise sein, wo man sich wirklich mal mit den Personen an den Tisch setzt und fiktives Fall durchspielt.

00:37:46: Technisch auf jeden Fall sicherstellen das die Lockretention also wirklich das Überschreiben und das Lockvolumina entsprechend hoch ist dass man auch Wochen oder mindestens mal einen Monat optimal ist natürlich ein halbes Jahr zurück kommt.

00:38:01: da sollte vor allem explizit auf die Firewall Active Directory so die Herzknotenpunkte von verschiedenen Bereichen der Infrastruktur geschaut werden.

00:38:10: Traffic Lock ist ein Riesenthema, traffic lock läuft natürlich sehr schnell voll weil in großen Unternehmen bei dreihundert Leuten natürlich viel los ist in die Infrastruktur.

00:38:19: aber genau das ist nachher so wie ... Der Punkt der Wahrheit sind Daten exfiltriert worden oder eben nicht?

00:38:26: und dass es oft so ein Thema wo wir an die Grenzen kommen weil dieses traffic lock einfach nicht geführt wird oder halt in zwei Stunden überschrieben ist.

00:38:34: Lock Volumina Ganz explizit, was ich eben schon mal aufgeführt habe.

00:38:39: Active Directory Administrationsverhalten und Arbeitsweisen.

00:38:43: Prozessuale Themen.

00:38:45: wie gehe ich mit meiner Microsoft Domäne um?

00:38:47: Härtungen in der Microsoft Bubble.

00:38:49: das ist ein ganz großes Thema.

00:38:53: Also einiges an Punkten die man da abarbeiten kann.

00:38:56: wenn ich noch eins ergänzen darf aus meiner Warte heraus würde ich vielleicht noch sagen Dokumentation auch ein Thema also je nach Umfällen, den man sich bewegt kann ja auch sowas wie ein Notfallhandbuch mal helfen grundsätzlich Dokumentation zu haben.

00:39:13: Zu wissen was habe ich auch.

00:39:14: und im Idealfall wenn das Ganze dann irgendwo auch offline verfügbar ist ob es dann ausgedruckt ist ganz klassisch oder auf einer Festplatte liegt irgendwo im Safe dass man halt dran kommt dass man im Zweifel dann auch weiß okay was haben wir eigentlich alles?

00:39:28: wo muss ich hingreifen?

00:39:30: Und wie du es eingangs auch schon gesagt hast Wie sind die Dinge denn geregelt.

00:39:35: Darüber zu sprechen aus meiner Erfahrung heraus ist das eine, es wirklich niedergeschrieben zu haben und dann auch abrufbar zu haben dass man sich daran orientieren kann gerade in der Krisensituation ist an das andere.

00:39:45: Ja sollte in der Preparation auf jeden Fall nieder geschrieben werden nur einen schönen Stuhlkreis das bringt meistens nicht viel.

00:39:51: das ist nächsten Tag wieder vergessen.

00:39:53: was natürlich auch wichtig ist.

00:39:55: gerade wenn so ein incident oder so eine tabletop exercise ist wo melde ich mich denn hin?

00:39:59: ist denn mein Dienstleister für die IT auch ein Stück weit mit abgeholt, habe ich da eine gewisse SLA-Mitwirkungspflicht und natürlich auch einen Incident Responder vielleicht schon mal proaktiv sich ein Zettel irgendwo hinlegen oder eine Notfallkarte schreiben das man nicht in der Situation anfängt zu suchen.

00:40:16: Das ist natürlich auch mein Thema.

00:40:18: Ja und von meiner Seite aus dann für heute abschließendes kleines Thema.

00:40:23: jetzt haben wir ganz viel Technik gesprochen und Organisationen.

00:40:28: Für mich immer auch ein großer Punkt der Faktor Mensch.

00:40:31: Hast du da auch Empfehlungen, was jetzt verantwortlicher Geschäftsführer IT leider machen kann?

00:40:38: Ich glaube auch das ist ein wichtiger Faktur irgendwie dann die Mitarbeiterinnen und Mitarbeiter die Belegschaft mitzunehmen zu sensibilisieren.

00:40:46: solche Dinge

00:40:48: Also gerade in der Heutzeit also in den letzten Monaten ist natürlich vermehrt wieder Fishing oder Fishing ist eigentlich all die letzten Jahre sehr aktiv Und da sind wir eigentlich auf Vorbereitung und Sensibilisierung der Belegschaft, wobei das nicht für den Geschäftsführer eigentlich gedacht ist.

00:41:03: Aber vielleicht soll der Geschäftsführer das Ganze antriggern über seine Fachabteilung?

00:41:08: Weil um sein Unternehmen geht es.

00:41:09: wenn das steht muss er sich zeigen und auch entsprechend Rede und Antwort stehen.

00:41:15: aber tatsächlich der Faktor Mensch ist oft das schwächste Glied in der Kette.

00:41:20: Technik ist das eine aber auch diese diese Maßnahmen die ich eben beschrieben habe Die muss der Mensch ja trotzdem umsetzen und Technik umsetzten, umbauen.

00:41:31: Wirklich Infrastruktur schaffen die gehärtet ist benötigt natürlich auch ein Stück weit Fachpersonal klassische Administration es nochmal ein Stück weiter weg das ist eher das operative Geschäft wie zum Beispiel wirklich einen Konsalten der sich mit dieser einen Thematik wirklich bis ins kleinste Detail auskennt und diese Aushärtung auch durchführen kann.

00:41:50: also immer wieder beim Thema Investment.

00:41:53: Also ich glaube, das sind so ein bisschen zwei Schneiden des Schwerts.

00:41:57: Also wirklich diese Vorbereitung der Belegschaft im Sinne von Sensibilisierung Fishing-Kampagnen Trainings Die

00:42:04: Fake Sensibilisierung sowas CEO fraud

00:42:06: Richtig also das geht nicht nur über Fishing sondern auch der USB Stick der auf dem Parkplatz gefunden worden ist.

00:42:11: wie geht man mit solchen Themen um?

00:42:14: und natürlich dann auch Infrastruktur aushärten also wirklich auch mit dem Dienstleister in den Dialog gehen Und vielleicht nochmal von extern jemandem reinzuholen ohne den Dienstleister zu prüfen, aber einfach auch seine Infrastruktur zu challenging.

00:42:29: Ja sehr gut Marcel.

00:42:33: vielen Dank für den spannenden Einblick.

00:42:35: ich glaube da könnten wir jetzt noch irgendwie zwei drei Stunden drüber reden.

00:42:38: vielleicht machen wir ja auch gerne mal einen Teil.

00:42:40: zweiter draus waren.

00:42:43: sehr gute Einblick in deine Arbeit und diese ganze Welt der Cyber Angriffe und vor allen Dingen auf Forensik.

00:42:49: und was passiert dann danach?

00:42:52: Und von daher sage ich vielen Dank, dass du heute hier warst.

00:42:56: Wenn Sie und Ihr jetzt da weitere Informationen haben möchtet, gerne bei uns in der Beschreibung schauen.

00:43:02: Da verlinken wir ein paar Sachen.

00:43:05: Noch mal vielen Dank!

00:43:06: Und gerne bis zum nächsten Mal.

00:43:08: Auch Danke für meine Seite.