Incident Response mit belastbarer Evidenz
Einführung · 4 Abschnitte · ~14 Min Lesezeit · Stand
Die Betriebsfrage
Wie begrenzt ein Team einen vermuteten Host-Compromise, ohne Beweise, Wiederherstellungsoptionen oder den Betriebsauftrag unnötig zu zerstören?
Entscheidungsgrenzen
| Triage | Signal, Scope und Business-Impact dokumentieren; Hypothesen nicht als Fakten behandeln. |
|---|---|
| Containment | Kommunikation und Schadensweg begrenzen, möglichst reversibel und mit Owner. |
| Evidenz | Volatile und persistente Artefakte nach freigegebenem Verfahren sichern. |
| Eradication und Recovery | Ursache entfernen, vertrauenswürdigen Zustand wiederherstellen und Zugänge rotieren. |
Response-Ablauf
- Incident führen und Scope schätzen
- Containment freigeben und protokollieren
- Evidenz vor destruktiven Schritten sichern
- Recovery validieren und Erkenntnisse zurückführen