Was ist ein Computer Security Incident Response Team (CSIRT)?

Ein CSIRT ist eine wichtige Komponente moderner Cybersicherheit und für die schnelle Reaktion auf Vorfälle wie Datenschutzverletzungen und Ransomware-Angriffe verantwortlich. CSIRTs mindern nicht nur Schäden, sondern widmen sich auch der Risikoprävention. Angesichts der Weiterentwicklung von Cyberbedrohungen bleiben CSIRTs unverzichtbar. Sie müssen sich an neue Technologien und organisatorische Anforderungen anpassen, um vor potenziellen Störungen und finanziellen Verlusten zu schützen.

In diesem Artikel werden die Zusammensetzung und der Zweck von Computer Security Incident Response Teams (CSIRT) untersucht. CSIRTs bestehen aus einer Gruppe von Fachleuten mit unterschiedlichem Hintergrund in den Bereichen IT und Cybersicherheit. Ihr Ziel ist es, schnell und effizient auf Cybersicherheitsvorfälle zu reagieren, aber auch daran zu arbeiten, das Auftreten solcher Vorfälle überhaupt zu verhindern.

Ein CSIRT ist eine Gruppe von Personen, die in einer formellen Einheit organisiert ist und deren definierte Aufgabe darin besteht, schnell und ergebnisorientiert auf Cybersicherheitsvorfälle wie Datenverstöße oder Ransomware-Angriffe zu reagieren. Risikominderung ist in der Regel auch ein Schwerpunkt des CSIRT, da es besser ist, einen Angriff zu verhindern, als darauf zu reagieren. Zu diesem Zweck bieten CSIRTs Services für Risikobewertung und -management an, mit dem Ziel, Cyber-Notfälle zu verhindern. Die grundlegende Annahme ist, dass jedes Unternehmen, das auf Computer angewiesen ist, über eine formelle Vorfallsreaktionsfunktion verfügen muss, die von einem dedizierten Team ausgeführt wird.

Ein CSIRT führt wahrscheinlich nicht jeden Prozess der Vorfallsreaktion durch. Vielmehr ergänzt das Team seine eigenen Bemühungen, indem es die Maßnahmen anderer Gruppen koordiniert und dabei auf der Grundlage von Plänen und Protokollen arbeitet, die es selbst erstellt hat. Insbesondere versucht ein CSIRT, die Bedrohung oder den Angriff einzudämmen, die Bedrohung zu beseitigen und dann die Wiederherstellung zu überwachen. Wenn beispielsweise Malware einen Server übernimmt, befolgt das Sicherheitsteam das bestehende Protokoll des CSIRT und isoliert den Server, damit sich die Malware nicht im Netzwerk verbreiten kann. Das CSIRT koordiniert dann die Durchführung eines Prozesses, der die Malware beseitigt und die ordnungsgemäße Funktion des Servers wiederherstellt.

Häufig führt das CSIRT nach einem Vorfall eine Untersuchung durch und übernimmt entweder selbst die Nachbearbeitung oder beauftragt andere damit, z. B. das Patchen von Betriebssystemen, das Zurücksetzen von Firewalls oder die Sicherstellung, dass Abwehrtechnologien wie Intrusion-Detection-Systeme (IDS) so konfiguriert sind, dass sie alle Malware abfangen, die auf den Server gelangt ist. Im Rahmen dieses Prozesses kann das CSIRT seinen Reaktionsplan aktualisieren. Darüber hinaus kann ein CSIRT an der Überprüfung und Überarbeitung von Sicherheitsrichtlinien beteiligt sein. Auch Audits können von ihm gehandhabt werden.

Die Hauptarbeit von CSIRTs ist die Reaktion auf Vorfälle. Um die gewünschte Wirkung zu erzielen, müssen sie schnell, aber auch richtig reagieren. Jedes CSIRT arbeitet anders, die Ziele sind aber immer dieselben: Schäden an Systemen und Daten minimieren, die Bedrohung beseitigen und die Systeme schnell wieder in einen betriebsbereiten Zustand versetzen.

Vorbereitung ist einer der wichtigsten Erfolgsfaktoren. Es ist keine glamouröse Arbeit, und es mag so aussehen, als ob das CSIRT zwischen Notfällen „nichts tut“. Die Wahrheit ist jedoch, dass das CSIRT seine Richtlinien und Verfahren ständig weiterentwickelt und sich mit seinen Partnergruppen innerhalb der Organisation abstimmt. Beispielsweise aktualisiert das CSIRT regelmäßig das SOAR-System (Security Orchestration, Automation and Response) des Security Operations Center (SOC) sowie dessen Playbooks für Vorfälle. In diesem Zusammenhang untersucht das CSIRT stets die neuesten Bedrohungsdaten, möglicherweise in Abstimmung mit einem Information Sharing and Analysis Center (ISAC).

Wenn ein Vorfall auftritt, wird das CSIRT aktiv. Es versucht, die Bedrohung einzudämmen und benachrichtigt gleichzeitig alle notwendigen Stakeholder wie die IT-Abteilung, die Geschäftsleitung, die Rechtsabteilung, das PR-Team usw. Sobald das CSIRT die Bedrohung eingedämmt und isoliert hat, behebt es sie, vielleicht indem es einen Systempatch aufspielt und die IT-Abteilung anweist, alle ähnlichen Systeme zu patchen. Das CSIRT erstellt dann einen Vorfallsbericht für relevante Stakeholder und aktualisiert seine Richtlinien und Verfahren, um eine Wiederholung eines vergleichbaren Vorfalls in Zukunft zu vermeiden.

CSIRTs sind seit vielen Jahren ein fester Bestandteil der Informationssicherheitslandschaft, was sich auch in ihrem Namen widerspiegelt – dieser erinnert an eine Zeit, in der wenige Großrechner die damals als Management-Informationssysteme (MIS) bezeichneten Abteilungen dominierten. Niemand würde heute sagen: „Wir hatten einen Computervorfall.“ Doch wenn damals „der Computer“, vielleicht ein riesiger Mainframe in einem „Glashaus“, ein Sicherheitsproblem hatte, stand das CSIRT bereit, um zu reagieren. Die Cybersicherheit ist in den letzten Jahrzehnten viel ernster und komplexer geworden, aber die Notwendigkeit für CSIRTs bleibt bestehen. Wenn überhaupt, benötigen Unternehmen ein CSIRT mehr denn je.

CSIRTs sind unabdingbar, da in der heutigen Bedrohungslandschaft so viel auf dem Spiel steht. Unternehmen und Organisationen des öffentlichen Sektors müssen sich vor hartnäckigen und ausgefeilten Angreifern schützen. In einigen Fällen kommen die Angriffe von Nationalstaaten. Ein schwerwiegender Cybersicherheitsvorfall kann erhebliche Schäden für den Betrieb, die Finanzen und den Ruf verursachen. Eine gut geplante, schnelle Reaktion ist absolut unerlässlich. Und diese erfolgt durch CSIRTs.

Heute verschmilzt die Rolle des CSIRT mit einer Reihe verschiedener Bereiche der IT und Sicherheit. Wenn ein Unternehmen beispielsweise über ein SOC verfügt, arbeitet das Team, das dieses betreibt, mit dem CSIRT zusammen und nutzt dabei möglicherweise dessen Verfahren. In einigen Fällen hat die Technologie selbst einige der traditionellen Aufgaben des CSIRT übernommen. Beispielsweise kann eine SOAR-Plattform CSIRT-Richtlinien in ihre Arbeitsabläufe und „Playbooks“ zur Bedrohungsabwehr integrieren.

CSIRTs sind seit vielen Jahren ein fester Bestandteil der Informationssicherheitslandschaft, was sich auch in ihrem Namen widerspiegelt – dieser erinnert an eine Zeit, in der wenige Großrechner die damals als Management-Informationssysteme (MIS) bezeichneten Abteilungen dominierten. Niemand würde heute sagen: „Wir hatten einen Computervorfall.“ Doch wenn damals „der Computer“, vielleicht ein riesiger Mainframe in einem „Glashaus“, ein Sicherheitsproblem hatte, stand das CSIRT bereit, um zu reagieren. Die Cybersicherheit ist in den letzten Jahrzehnten viel ernster und komplexer geworden, aber die Notwendigkeit für CSIRTs bleibt bestehen. Wenn überhaupt, benötigen Unternehmen ein CSIRT mehr denn je.

CSIRTs sind unabdingbar, da in der heutigen Bedrohungslandschaft so viel auf dem Spiel steht. Unternehmen und Organisationen des öffentlichen Sektors müssen sich vor hartnäckigen und ausgefeilten Angreifern schützen. In einigen Fällen kommen die Angriffe von Nationalstaaten. Ein schwerwiegender Cybersicherheitsvorfall kann erhebliche Schäden für den Betrieb, die Finanzen und den Ruf verursachen. Eine gut geplante, schnelle Reaktion ist absolut unerlässlich. Und diese erfolgt durch CSIRTs.

Heute verschmilzt die Rolle des CSIRT mit einer Reihe verschiedener Bereiche der IT und Sicherheit. Wenn ein Unternehmen beispielsweise über ein SOC verfügt, arbeitet das Team, das dieses betreibt, mit dem CSIRT zusammen und nutzt dabei möglicherweise dessen Verfahren. In einigen Fällen hat die Technologie selbst einige der traditionellen Aufgaben des CSIRT übernommen. Beispielsweise kann eine SOAR-Plattform CSIRT-Richtlinien in ihre Arbeitsabläufe und „Playbooks“ zur Bedrohungsabwehr integrieren.

Jedes CSIRT ist anders zusammengesetzt. Die meisten CSIRTS kombinieren jedoch Personal und Richtlinien auf eine Weise, die ihre Aufgaben klar definiert. Was die personelle Besetzung angeht, verfügt ein CSIRT in der Regel über eine Kerngruppe engagierter Mitglieder, die bei Bedarf durch Experten ergänzt wird, die mit dem CSIRT zusammenarbeiten. Die Teammitglieder haben ausnahmslos unterschiedliche Hintergründe und Fähigkeiten. Einige sind beispielsweise Experten für den Schutz von Windows-Systemen, während andere sich mit Linux auskennen. Das Kernteam kann dem CSIRT in Vollzeit zugewiesen werden, dies ist jedoch meist nur in sehr großen Organisationen der Fall. In den meisten Fällen haben die Mitglieder des CSIRT-Teams „Haupttätigkeiten“ in IT- und Cybersicherheitsabteilungen.

Was die Richtlinien betrifft, so erstellt und pflegt das CSIRT zusätzlich zu seinem Leitbild und den schriftlichen Definitionen der relevanten Interessengruppen eine Reihe von Dokumenten, in denen die Funktionsweise des CSIRT festgelegt ist. Ein CSIRT verfügt beispielsweise in der Regel über einen zentralen Vorfallsreaktionsplan, der schriftlich erklärt, wie das Team Prozesse zur Vorfallsreaktion vor Ort handhabt und wie es mit der Reaktion auf Vorfälle per Telefon umgeht. Der Plan zeigt, wie das CSIRT die Reaktion auf Vorfälle koordiniert, indem es die Ressourcen des Teams auf mehrere Gruppen verteilt.

Im Rahmen dieser Bemühungen veröffentlicht ein CSIRT Formulare und Kontaktverzeichnisse, die es mit jeder Gruppe innerhalb der Organisation, für die es tätig ist, teilt. Das mag sich wie ein unnötiger Schritt anhören, aber die Erfahrung hat gezeigt, dass wichtige Stakeholder oft nicht wissen, wen sie bei einem Sicherheitsvorfall kontaktieren sollen. Wenn beispielsweise der Laptop des CEO gestohlen wird, weiß sein administrativer Assistent dann, dass er sich an das CSIRT wenden muss, oder ruft er einfach den IT-Helpdesk an – der möglicherweise selbst klare Anweisungen benötigt, um das CSIRT zu aktivieren?

Ein CSIRT erstellt auch zahlreiche interne Richtlinien- und Verfahrensdokumente. Diese behandeln die Funktionsweise des CSIRT, seine Reaktion auf Vorfälle, die Aufgabenverteilung, die Erstellung von Vorfallberichten und vieles mehr.

Die Einzelheiten dieser Richtlinien variieren je nach CSIRT-Struktur. Zu den gängigen organisatorischen Ansätzen zur Einrichtung eines CSIRT gehören:

• Zentralisiertes CSIRT: Ein einziges Team wird für das gesamte Unternehmen eingesetzt.
• Verteiltes CSIRT: Mehrere Teams befinden sich in verschiedenen Regionen und/oder sind verschiedenen Geschäftseinheiten zugewiesen.
• Koordinierendes CSIRT: Ein zentrales CSIRT koordiniert die Arbeit untergeordneter CSIRTs.
• Hybrides CSIRT: Bei dieser Kombination aus zentralisierten und dezentralisierten Modellen ist das zentrale CSIRT vollzeitbeschäftigt, während die dezentralisierten CSIRTs auf Abruf bereitstehen.
• Hybrides CSIRT/SOC: Das SOC ist für die täglichen Vorfallsreaktionen und das Alarmmanagement zuständig. Das CSIRT wird jedoch aktiv, wenn bestimmte schwerwiegende Bedingungen erfüllt sind.
• Ausgelagertes CSIRT: Ein externer Anbieter führt die Arbeit des CSIRT aus; ein Ansatz, der für kleinere Unternehmen geeignet sein kann. Ausgelagerte CSIRTs können auch Aufgaben übernehmen, die außerhalb der Fähigkeit eines internen CSIRT liegen, z. B. die Beseitigung von Ransomware oder digitale Forensik.

Ein PSIRT (Product Security Incident Response Team) ist vergleichbar mit einem CSIRT, konzentriert sich jedoch auf die Sicherheitsaspekte der Produkte eines Unternehmens. Wenn ein Unternehmen beispielsweise Computerhardware herstellt, ist das PSIRT für die Behandlung aller Sicherheitsvorfälle verantwortlich, die mit dem Produkt auftreten. Das kann bedeuten, dass die Firmware des Produkts regelmäßig aktualisiert und die Infrastruktur des Kunden repariert werden muss, wenn das Produkt Ziel eines Cyberangriffs geworden ist.

Strukturell ist das PSIRT mit dem CSIRT vergleichbar. Es besteht aus Experten aus den sich ergänzenden Bereichen Cybersicherheit, Informationstechnologie (IT) und Compliance. Organisatorisch befindet sich das PSIRT in der Regel innerhalb der Secure-Engineering-Organisation des Unternehmens. Auf diese Weise trägt das PSIRT zum Lebenszyklus der sicheren Entwicklung (SDL) des Unternehmens bei. Das PSIRT kann auch in den Prozess der Anforderungserfassung einbezogen werden, indem es Beratung zur Risikomodellierung anbietet und dabei hilft, die Erstellung eines sicheren Endprodukts sicherzustellen.

Um effektiv zu sein, nutzen CSIRTs eine Reihe fortschrittlicher Technologien, die darauf ausgelegt sind, Cyberbedrohungen in Echtzeit zu erkennen, zu analysieren und abzuwehren. Zu den wichtigsten Tools gehören:

• Security Information and Event Management (SIEM): Aggregiert und analysiert Protokolldaten aus verschiedenen Quellen, um potenzielle Bedrohungen zu erkennen, indem ungewöhnliche Verhaltensweisen oder Anomalien im Netzwerktraffic identifiziert werden.
• EDR (Endpoint Detection and Response): Bietet Einblicke in Endpoints wie Laptops, Server oder Mobilgeräte, sodass das CSIRT komplexe Bedrohungen wie Ransomware erkennen und darauf reagieren kann.
• Intrusion Detection and Prevention System (IDPS): Überwacht den Netzwerktraffic auf Anzeichen von unbefugtem Zugriff oder Angriffen und kann proaktive Maßnahmen ergreifen, um diese Angriffe zu blockieren oder abzuwehren.
• Threat-Intelligence-Plattformen: Sammeln und analysieren Informationen zu bekannten Bedrohungen und stellen dem CSIRT verwertbare Daten für den Schutz vor neuen Schwachstellen und Angriffen bereit.
• Automatisierung: Die Automatisierung des Vorfallmanagements durch SOAR-Plattformen ermöglicht es Teams, auf Vorfälle in großem Umfang zu reagieren. Automatisierung ermöglicht auch die Standardisierung von Playbooks zur Vorfallsreaktion, wodurch die Zeit für die Erkennung und Abwehr von Bedrohungen reduziert wird.

Was ist erforderlich, um ein CSIRT zu erstellen, das seine Aufgabe erfüllen kann? Best Practices reichen von der Maximierung der CSIRT-Verfügbarkeit (rund um die Uhr) bis hin zur bereichsübergreifenden Schulung von Teammitgliedern. Je mehr Menschen wissen, wie man bestimmte Dinge erledigt, und in der Lage sind, im Notfall die Aufgaben anderer zu übernehmen, desto effektiver wird das CSIRT sein. Fortlaufende Schulungen sind generell eine bewährte Praxis. Ein gutes CSIRT baut ständig seine Fähigkeit aus und verfeinert seine Vorgehensweisen. Es lohnt sich, Risiken und Szenarien zu modellieren und zu proben, wie das CSIRT reagieren wird. Es ist auch ratsam, unternehmensweit Beziehungen mit Führungskräften aufzubauen, die das Projekt unterstützen. Ein CSIRT ist keine kostengünstige Angelegenheit, sodass seine Existenz in wirtschaftlich schwierigen Zeiten infrage gestellt werden kann. Daher ist es gut, Fürsprecher auf hoher Ebene zu haben.

Eine wichtige Funktion jedes CSIRT ist die Durchführung von Vorfallsbewertungen, mit denen die Anfälligkeit des Unternehmens gegenüber verschiedenen Cyberbedrohungen bewertet werden kann. Diese Bewertungen beurteilen die Infrastruktur, Sicherheitsprotokolle und Reaktionsfähigkeiten einer Organisation im Falle von Vorfällen, um Schwachstellen zu identifizieren, die von Cyberkriminellen ausgenutzt werden könnten, und um festzustellen, wann Strafverfolgungsbehörden eingeschaltet werden sollten.

Regelmäßige Bewertungen sind erforderlich, um Schwachstellen in neuer Software, Fehlkonfigurationen oder Mitarbeiterpraktiken zu erkennen, die zu unbefugtem Zugriff oder Backdoor-Malware-Infektionen führen könnten. Sie helfen auch, Unternehmen auf immer ausgefeiltere Angriffsvektoren wie Bots, Kryptomining-Malware oder DDoS-Angriffe vorzubereiten.

Eine gründliche Bewertung umfasst nicht nur die Überprüfung interner Systeme, sondern auch die Bewertung der Anbieterlandschaft des Unternehmens angesichts des wachsenden Risikos von Angriffen auf die Lieferkette. Wie viele bekannte Sicherheitsverletzungen gezeigt haben, ist die Sicherheit einer Organisation nur so stark wie ihr schwächstes Glied.

Das CSIRT ist ein wesentliches Element einer erfolgreichen Cybersicherheitsstrategie. Das liegt daran, dass jedes Unternehmen heutzutage mit erheblichen Störungen und Kosten konfrontiert ist, wenn ein kritisches System ausfällt oder eine Datenverletzung auftritt. Ein CSIRT kann die schlimmsten geschäftlichen Auswirkungen eines solchen Ereignisses abwehren. CSIRT-Mitglieder verfügen zusammen über Fachwissen, mit dem sie schnell und effektiv auf Cybersicherheitsvorfälle reagieren können. Sie tragen auch dazu bei, Angriffe zu verhindern. Aufgrund ihrer Entscheidungsbefugnis gewinnt die Rolle von CSIRTs mit der Modernisierung und Automatisierung von Sicherheitsprozessen eher an Bedeutung, anstatt an Bedeutung zu verlieren.