Wenn schon etwas schiefgegangen ist

Bisher ging es immer um Verhinderung. Diese Lektion behandelt die andere Hälfte, und genau sie trennt ein Sicherheitsinteresse von einem Sicherheitsberuf: was zwischen dem Moment passiert, in dem etwas schiefgeht, und dem Moment, in dem es vorbei ist. Das ist eher eine Prozesslektion als eine technische, und der Prozess ist der Teil, der unter Druck am häufigsten versagt, weil die richtige Handlung oft die am wenigsten entschlossen wirkende ist. Eine Auswertung ist der Teil des Prozesses, der den nächsten Vorfall billiger macht, und sie funktioniert nur, wenn Menschen die Wahrheit sagen. Schuldzuweisung und Wahrheit stehen in direktem Wettbewerb: Die erste Frage einer Untersuchung, die einen Schuldigen sucht, ist, ob danach noch jemand Informationen freiwillig nennt. Der Ersatz für Schuldzuweisung ist keine Unverbindlichkeit, sondern eine andere Frage. Statt zu fragen, wer den falschen Befehl ausgeführt hat, fragt man, was den falschen Befehl richtig aussehen ließ und was das falsche Ergebnis unmöglich statt bloß unerwünscht gemacht hätte. Ein Punkt, der lautet, man solle sorgfältiger sein, ist kein Punkt. Ein Punkt, der lautet, das Deploy-Skript weigert sich nun, gegen Produktion zu laufen, solange kein ausdrückliches Bestätigungsflag gesetzt ist, ist einer, weil er nicht davon abhängt, dass sich jemand an etwas erinnert. Derselbe Vorfall zweimal aufgeschrieben. Nur die zweite Version erzeugt Massnahmen, die eine arbeitsreiche Woche ueberstehen. Die ehrliche Zusammenfassung ist, dass Prävention und Reaktion auf unterschiedliche Weise versagen. Prävention versagt, weil eine Maßnahme, an die man glaubte, nicht hielt, und sie versagt meist leise. Reaktion versagt wegen dessen, was Menschen unter Druck tun, und sie versagt laut: die Maschine mit den Beweisen neu starten, den Host löschen, weil die Symptome aufgehört haben, ein Backup einspielen, das nach Beginn des Eindringens erstellt wurde, oder einen Bericht schreiben, nach dem niemand den nächsten Vorfall meldet. Die unbequeme Schlussfolgerung ist, dass das Ergebnis eines Vorfalls weniger von der Raffinesse des Angreifers abhängt als davon, ob die Organisation aufgeschrieben und geübt hatte, was sie tun würde.

Die erste und schwerste Stufe ist das Bemerken. Ein Ereignis ist alles Beobachtbare; ein Alarm ist ein Ereignis, das jemand für aufmerksamkeitswürdig hielt; ein Vorfall ist ein Alarm, den jemand für echt hielt. Jede dieser Umwandlungen kann scheitern. Logs, die niemand ansieht, sind Dekoration. Alarme, die viertausend Mal am Tag auslösen, erziehen alle dazu, sie zu ignorieren, und das ist schlimmer als gar keine Alarme, weil damit auch die Annahme verschwindet, dass jemand hinsieht. Die praktische Lehre: Erkennungsfähigkeit ist nicht die Zahl der Werkzeuge, sondern die Zahl der Signale, die ein Mensch tatsächlich ansieht. Alles Weitere in dieser Lektion steht einer Organisation nicht zur Verfügung, die diese Stufe nicht gelöst hat, denn man kann nicht eindämmen, was man nicht bemerkt hat. Grobe Branchenbild davon, wie lange Vorfälle unbemerkt bleiben. Die Streuung zwischen Organisationen ist weit groesser als die zwischen Jahren. Ein Alarm ist nützlich, wenn er drei Dinge enthält: eine Beschreibung des Beobachteten, genug Kontext zum Beurteilen und eine festgelegte Handlung. Ein Alarm, der nur meldet, dass etwas Anomales passiert ist, ist schlechter als Stille, denn er kostet Aufmerksamkeit und liefert nichts zurück. Die Grundlinie ist es, die Kontext überhaupt möglich macht. Man kann nicht sagen, dass eine Anmeldung um 03:14 ungewöhnlich ist, wenn man nicht weiß, wie eine normale Stunde für dieses Konto aussieht; die nützliche Arbeit beginnt also lange vor dem Vorfall, wenn jemand entscheidet, was aufgezeichnet wird.

$ sudo dd if=/dev/sda1 of=/mnt/evidence/disk.img bs=4M conv=noerror,sync
$ sha256sum /mnt/evidence/disk.img | tee /mnt/evidence/disk.img.sha256

$ date -u +"%Y-%m-%dT%H:%M:%SZ" | tee -a /mnt/evidence/chain-of-custody.txt

# every later look works on a copy, never on the original
$ cp /mnt/evidence/disk.img /tmp/work.imgEin Abbild der Platte sichern und eine Nachweiskette beginnen. Der Hash ist der Punkt: Er erlaubt es spaeter zu sagen, dass die Kopie nicht veraendert wurde.

Ein Vorfall ist ein Ereignis, das Richtlinien, Vertraulichkeit, Integrität oder Verfügbarkeit bedroht oder verletzt. Eine Datenschutzverletzung ist eine bestimmte Art von Vorfall: eine, bei der Daten tatsächlich von jemandem eingesehen oder entwendet wurden, der sie nicht hätte haben dürfen. Der Unterschied ist keine Haarspalterei, er ändert das Vorgehen. Eine Phishing-Kampagne, auf die niemand geklickt hat, ist ein Vorfall ohne Datenschutzverletzung, und die Reaktion ist, den Absender zu blockieren und Leute zu warnen. Ein falsch konfigurierter öffentlicher Speicher, der eine Woche offen stand, ist potenziell eine Datenschutzverletzung, obwohl technisch nichts kaputtging, und die Reaktion schließt die Frage ein, ob jemand hineingesehen hat. Beides zu vermengen führt dazu, dass Organisationen entweder auf Rauschen überreagieren oder eine echte Exposition unterschätzen.

Eindämmung stoppt den Schaden. Beseitigung entfernt die Ursache. Wiederherstellung bringt den Dienst zurück. Das sind drei verschiedene Ziele, und sie werden häufig als eines ausgeführt, und dort beginnt der Ärger. Der Instinkt unter Druck ist neu starten, neu installieren und wiederherstellen, weil das die Symptome beseitigt. Ein Neuaufbau, der beginnt, bevor man verstanden hat, wie der Angreifer hineinkam, liefert eine saubere Maschine und ein dauerhaftes Rätsel, und wenn der Einstiegsweg nicht geschlossen wurde, ist der nächste Aufbau auf dieselbe Weise kompromittiert. Die Reihenfolge zählt, und ebenso die Bereitschaft, eine kompromittierte Maschine eine Zeit lang isoliert und laufend zu halten, statt sie sofort zu löschen. Die drei Stufen und die Handlung, die jede erlauben darf. Beachte: Die Beweissicherung liegt innerhalb der Eindaemmung, bevor die Beseitigung die Maschine loescht. Aus dem Backup wiederherzustellen ist eine hervorragende Antwort auf einen Hardwareausfall und eine gefährliche Antwort auf ein Eindringen. Entscheidend ist nicht, wie gut das Backup ist, sondern wann der Angreifer ankam relativ zu dem Zeitpunkt, an dem es erstellt wurde. Wurde das Backup nach Beginn des Eindringens erstellt, kann der eingerichtete Persistenzmechanismus darin stecken, und man stellt die Kompromittierung zusammen mit den Daten wieder her. Deshalb kommt die Eindämmung vor der Wiederherstellung: Man muss die Zeitlinie gut genug verstehen, um einen Wiederherstellungspunkt vor dem ersten Anzeichen des Einstiegs zu wählen, und man muss den Einstiegsweg geschlossen haben, bevor irgendetwas wieder online geht. Beweise haben eine Lebensdauer, und sie läuft in der umgekehrten Reihenfolge ab, die man erwartet. Alles im Speicher, in einem laufenden Prozess, in einer Netzwerkverbindung oder in einer temporären Datei ist weg, sobald die Maschine den Strom verliert oder neu startet. Alles auf der Platte übersteht einen Neustart, aber keine Neuinstallation. Alles, was bereits an einen zentralen Logspeicher geschickt wurde, übersteht beides, weshalb zentrales Logging eine forensische Maßnahme ist und nicht nur ein operativer Komfort. Die ersten Handlungen einer Reaktion sind daher fast mechanisch: die aktuelle Uhrzeit notieren, das Flüchtige erfassen, bevor es verschwindet, und erst dann entscheiden, was mit der Maschine geschehen soll. Die Regel, die daraus folgt, ist kurz, und sie wird in den ersten fünf Minuten am häufigsten gebrochen: nicht neu starten. Ein Neustart leert den Speicher, trennt Netzwerkverbindungen, stoppt laufende Prozesse und überschreibt einen Teil des benötigten Zustands, und der Angreifer kann einen Autostart-Eintrag hinterlassen haben, den der Neustart auslöst. Muss die Maschine isoliert werden, zieht man das Netzwerkkabel statt den Strom. Das ist gerade deshalb unintuitiv, weil Aus- und Einschalten bei fast jedem anderen Computerproblem die richtige Antwort ist.