Digitale Forensik

Digitale Forensik - Wenn jede Minute doppelt zählt

Penetrationstests identifizieren potenzielle Schwachstellen. Doch was tun, wenn ein "Hackerangriff" bereits erfolgreich war? Mit dem Bereich IT-Forensic bietet secunet eine Gruppe von reaktiven Dienstleistungen, die im K-Fall kurzfristig abgerufen werden kann.

Egal ob Systeme verschlüsselt sind, Daten ausgeleitet oder verändert wurden oder Payment Diversion Angriffe („ein Geschäftsführer schnell 1 Mio € benötigt“. Unsere Experten unterstützen mit den Kernthemen Prävention (Forenic-Readiness), Detailanalysen (Forensic Investigations) und Lagebildabschätzung (Compromise Assessment).

Bei Fragen und drohender Gefahr: +49 201 5454 1337

Forensic-Readiness

Während eines IT-Vorfalls zählt jede Minute doppelt. Eine effektive und effiziente Vorfallbehandlung ist daher nur mit im Vorfeld festgelegten Strukturen, Prozessen und Entscheidungsbäumen möglich. Besonders wichtig ist ein gemeinsames Verständnis bei den beteiligten Personen sowie klare Rollen und Entscheidungskompetenzen.
Forensic-Readiness steigert die Reaktionsfähigkeit des internen IT-Teams: Gemeinsam entwickelte und im Nachgang laufend geübte Vorgaben, Verfahrensanweisungen und Prozesse verhindern, dass im entscheidenden Moment Fehler gemacht werden.

Auf Basis der vorab ausgetauschten Informationen bereitet secunet Vorlagen und eine Agenda für einen individuellen Workshop vor. Neben der Beratung und der Durchführung des Workshops erhalten Sie auf Ihre Organisation angepasste Schulungsunterlagen sowie einen umfangreichen Abschlussbericht mit Empfehlungen.

Forensic-Investigations

Der Ursprung jedes Incidents ist ein einzelnes kompromittiertes System, der sog. „Patient Zero“. Ist dieses System bekannt, kann es im Rahmen einer Forensic-Investigations genannten Analyse untersucht werden. Dabei wird zunächst eine 1:1 Kopie der Datenträger des Systems erzeugt. Alle weiteren Arbeiten werden auf diese Kopie durchgeführt, um die Beweismittelkette zu erhalten.

Basierend auf den Kopien der Datenträger werden Timelines aus Informationen des Dateisystems, lokaler Prozesse und vorhandener Logdaten erzeugt. Diese Timelines werden dann von unseren Experten analysiert und Rückschlüsse auf den Hergang des Incidents ermittelt.

Compromise Assessment

Ein Incident beginnt zwar immer mit einem System, dem „Patient Zero“, kann sich aber in kurzer Zeit so weit im Unternehmen ausbreiten, dass die Identifikation  des Ursprungs allein durch manuelle Arbeiten nicht mehr zu bewältigen ist. In diesem Fall ist der Schwenk von zum Compromise Assessment notwendig. Dabei werden alle aktiven Systeme durch eine Spezialsoftware analysiert. Diese sucht auf den Systemen nach (Fragmenten von) Malware und verdächtigen Prozessen. Bei diesem Vorgehen werden zusätzlich gelöschte Dateien wiederherstellt, um verborgene Hinweise auf eine mögliche Kompromittierung zu finden.

Die Ergebnisse der Analysephasen werden dann zentral gesammelt, mit einander in Korrelation gebracht und damit ein ganzheitliches Lagebild der vom Incident betroffenen Systeme erstellt. Anhand dieses Lagebildes können die weiteren Forensic-Investigations effektiv geplant und die Ursache des Incidents erarbeitet werden.