Incident Management

Question 1

Ziel des Incident Managements

Answer 1

Behandlung von Informationssicherheitsvorfällen zur Verringerung des Schadens

Question 2

Definition Incident ISO

Answer 2

Ein oder mehrere zusammenhängende Informationssicherheitsereignisse, die den Assets einer Organisation schaden oder ihren Betrieb gefährden können

Question 3

Incident Management Prozess nach ITIL: Rollen

Answer 3

• Incident Manager: Prozessverantwortlicher
• Problem Manager: Überwachung von Problemen
• Incident Team: Behebung von Incidents
• Major Incident Team: Behebung von Major Incidents

Question 4

Incident Management Prozess nach ITIL: Merkmale

Answer 4

• Incident Response Teams und wichtige Rollen
• Identifizierung von Vorfällen
• Aufzeichnung von Vorfällen
• Kategorisierung
• Priorisierung
• Initiale Diagnose
• Eskalation, Behebung & Wiederherstellung
• Abschluss- und Auswertungsprozess

Question 5

NIST: Computer Security Incident Handling Guide: Incident Response Life Cycle

Answer 5

• Preparation
• Detection and Analysis
• Containment, Eradication and Recovery
• Post-Incident Activity

Question 6

NIST: Computer Security Incident Handling Guide: Preparation

Answer 6

• Aufbau eines Incident Response Teams
  -> Budget & Ressourcen, Weiterbildung, Unterstützung vom Management
• Prävention von Incidents:
  -> Awareness
  -> Umsetzung von Maßnahmen aus der Risikoanalyse

Question 7

NIST: Computer Security Incident Handling Guide: Incident Response Life Cycle: Detection and Analysis

Answer 7

• Identifikation von Security Incidents:
  -> Erkennung von Fehlalarmen
  -> Verwendung unterschiedlicher Quellen
• Analyse des Ausmaßes:
  -> Identifizierung betroffener Systemkomponenten
  -> Profiling von Netzwerken und Systemen
  -> Log Retention Policy
• Dokumentation:
  -> alle Informationen und Tätigkeiten
  -> Durchführung in Zweier-Teams
  -> regelmäßige Statusberichte
• Priorisierung von Incidents:
  -> Beachtung der Schwere der Auswirkungen auf Funktionalität, Informationen und Recoverability

Question 8

NIST: Computer Security Incident Handling Guide: Incident Response Life Cycle: Containment, Eradication and Recovery

Answer 8

• Ziel: Schaden möglichst gering halten
• Verwendung von vorgefertigten Prozeduren
• Aufbewahrung von Beweisen zur Auswertung
• Bekämpfung des Incidents
• Wiederherstellung des Normalbetriebs

Question 9

NIST: Computer Security Incident Handling Guide: Incident Response Life Cycle: Post-Incident Activity

Answer 9

• Report
  -> Ursachen
  -> Kosten
  -> Schritte zur Verhinderung eines wiederholten Auftretens
• Lessons Learned:
  -> Meeting mit allen beteiligten Personen
  -> Ziel: Verbesserung der Sicherheitsmaßnahmen

Question 10

ISO 27035: Information Security Incident Management: Information Security Incident Prozess

Answer 10

• Plan & Prepare
• Identify, Detect & Report
• Assessment & Decision
• Responses
• Lessons Learned

Question 11

ISO 27035: Information Security Incident Management: Information Security Incident Prozess: Plan & Prepare

Answer 11

• Erstellung von Richtlinien
• Etablierung von Rollen und Verantwortlichkeiten
• Erstellung eines Information Security Incident Management Plans
• Aufbau eines Awareness-Programms

Question 12

ISO 27035: Information Security Incident Management: Information Security Incident Prozess: Identify, Detect & Report

Answer 12

• Feststellung und Meldung von Incidents
• Überwachung von Netzwerk- und Systemaktivitäten
• Sammlung von Hintergrundinformationen

Question 13

ISO 27035: Information Security Incident Management: Information Security Incident Prozess: Assessment & Decision

Answer 13

• Rolleneinteilung mit Handlungsprotokoll
• Verifizierung der Existenz des Incidents
• Dokumentation des Vorfalls, Protokollierung sämtlicher Informationen, Ergebnisse und Entscheidungen
• Eskalation an höhere Ebenen

Question 14

ISO 27035: Information Security Incident Management: Information Security Incident Prozess: Responses

Answer 14

• Zuweisung von internen und externen Ressourcen
• Klassifizierung des Vorfalls
• Ggf. Kommunikation des Vorfalls
• Behandlung des Incidents
• Abschluss des Incidents und der Dokumentation

Question 15

ISO 27035: Information Security Incident Management: Information Security Incident Prozess: Lessons Learned

Answer 15

• Prüfung des bisherigen Vorgehens, Identifizierung von Verbesserungsmöglichkeiten
• Verbesserung der Policy, Risikoeinschätzung, Prozesse, etc.
• Regelmäßige Überprüfung des Incident Response Teams