Verfahren zur Systemquarantäne | Decripte Security

Eine schnelle und effektive Quarantäne kompromittierter Systeme ist entscheidend, um die Ausbreitung von Angriffen zu verhindern, Daten zu schützen und Beweise während der Incident Response zu sichern.

Konzept und Zweck

Bei der Quarantäne werden infizierte Systeme vom Netzwerk isoliert, um zu verhindern, dass sich Malware auf andere Hosts ausbreitet. Dies kann das Deaktivieren einer Netzwerkschnittstelle, das Verschieben in ein isoliertes VLAN oder das Blockieren des Datenverkehrs mit einer Firewall umfassen.

Das Ziel besteht darin, den Vorfall einzudämmen, Schäden zu minimieren und Zeit für die forensische Analyse und Behebung zu gewinnen, ohne andere Assets zu gefährden.

Wann zu isolieren ist

Malware-Erkennung: Hosts mit Malware-Erkennungen, die durch Antivirus, EDR oder manuelle Analyse bestätigt wurden.

Verdächtige Aktivität: Systeme, die anomales Verhalten zeigen, wie ungewöhnlichen Netzwerkverkehr, nicht autorisierte Dateiänderungen oder unbekannte Prozesse.

Kompromittierte Anmeldedaten: Server, auf die mit gestohlenen oder wiederverwendeten Anmeldedaten zugegriffen wurde.

Laufende Angriffe: Hosts unter aktivem Angriff, etwa Ransomware während der Verschlüsselung oder solche, die für Denial-of-Service-Angriffe genutzt werden.

Quarantänemethoden

Netzwerktrennung: Die Netzwerkschnittstelle (Kabel oder WLAN) deaktivieren, um den Host vollständig zu isolieren.

VLAN-Segmentierung: Das System in ein isoliertes VLAN mit eingeschränktem Zugriff auf andere Ressourcen verschieben.

Firewall: Den gesamten ein- und ausgehenden Datenverkehr des Systems mit Firewall-Regeln blockieren.

EDR/XDR: Lösungen für Endpoint Detection and Response (EDR) und Extended Detection and Response (XDR) können die Quarantäne auf Basis von Erkennungen automatisieren.

Verfahren

1. Identifizierung: Das zu isolierende System anhand von Sicherheitswarnungen oder der Vorfallsanalyse identifizieren.

2. Benachrichtigung: Das Incident-Response-Team und den Systemeigentümer über die Quarantäne benachrichtigen.

3. Isolierung: Das System mit einer der oben beschriebenen Methoden isolieren.

4. Beweissicherung: Beweise für die forensische Analyse sichern (Disk- Images, Logs, Arbeitsspeicher).

5. Analyse: Die Grundursache des Vorfalls untersuchen und das Ausmaß der Kompromittierung bestimmen.

6. Behebung: Malware entfernen, Schwachstellen beheben und das System in einen sicheren Zustand zurückversetzen.

7. Überwachung: Das System nach der Wiederherstellung überwachen, um sicherzustellen, dass keine Reinfektion auftritt.

Werkzeuge

Firewalls: Zum Blockieren des Netzwerkverkehrs.

Switches: Für die VLAN-Segmentierung.

EDR/XDR: Für automatisierte Erkennung und Reaktion.

Forensik-Werkzeuge: Für die Analyse kompromittierter Systeme.

Überlegungen

Betriebliche Auswirkungen: Die Auswirkungen der Quarantäne auf das Geschäft bewerten und kritische Systeme priorisieren.

Kommunikation: Den Quarantänestatus klar an die relevanten Stakeholder kommunizieren.

Dokumentation: Alle Schritte des Quarantäneprozesses dokumentieren.

Automatisierung: Den Quarantäneprozess wann immer möglich automatisieren, um die Reaktionszeit zu verkürzen.

Tests und Simulationen

Penetration Testing: Angriffe simulieren, um die Wirksamkeit der Quarantäneverfahren zu testen.

Tabletop Exercises: Simulationsübungen durchführen, um Incident-Response-Teams zu schulen.

Häufige Herausforderungen

Falsch-Positive: Systeme aufgrund von Falsch-Positiven fälschlicherweise isolieren.

Nicht verwaltete Systeme: Schwierigkeiten beim Isolieren nicht verwalteter oder nicht inventarisierter Systeme.

BYOD: Herausforderungen beim Isolieren von Bring-Your-Own-Device-Geräten (BYOD) ohne Verletzung der Privatsphäre.