Incident Response Cheatsheet

Glossar

CIA-Schutzziele (NIST)

Wann liegt ein IT-Security Incident vor?

NIST-Kerndefinition: Ein Incident liegt vor, wenn C, I oder A verletzt wird oder potenziell verletzt werden könnte — Absicht oder tatsächlicher Schaden sind nicht Voraussetzung.

Sliding Scale of IT-Security (SANS / Robert M. Lee)

Fünf Kategorien von IT-Sicherheitsinvestitionen. Bedeutung und Kosten steigen von links nach rechts; jede Kategorie baut auf der vorherigen auf — außer Offense, das primär Regierungen vorbehalten und rechtlich riskant ist.

Cyber Kill Chain (Lockheed Martin, deterministisch)

• Alle 7 Phasen müssen durchlaufen werden; Kompromittierung ist erst mit Phase 7 vollständig
• Verteidigung erfolgt über alle Phasen — je früher die Erkennung, desto mehr Handlungsspielraum
• Kernfrage des Modells: „Wie kam der Angreifer ins Netzwerk?“ — nicht, was danach passiert

Erweiterungen im Überblick

Unified Kill Chain (vereint alle Modelle, iterativ)

Was ist ein Threat?

Eine Bedrohung entsteht erst, wenn drei Aspekte zusammenkommen — fehlt einer, ist es nur Potential, nicht Threatening:

Von Daten zu Intelligence

Intelligence Lifecycle

3 Typen von IoCs

IoC-Lebenszyklus: Uncovered → Used → Passive → Aged → Report/Retire — bestimmt allein durch den Angreifer.

Pyramid of Pain (David Bianco)

Je höher der erkannte IoC-Typ in der Pyramide liegt, desto schmerzhafter ist es für den Angreifer, ihn zu ändern — und desto wertvoller für die Verteidigung.

3 Ebenen der Intelligence

4 Typen der Threat Detection

TTP-Konzept

ID-Schema: Tactic TA00XX · Technique T1XXX · Sub-Technique T1XXX.00X

Die 14 Taktiken der Enterprise Matrix

Wichtige Techniken (Auswahl)

Warum TTPs für IR entscheidend sind

• TTPs liegen in der Pyramid of Pain ganz oben — höchster Verteidigungswert; für den Angreifer am teuersten zu ändern
• Forensische Analyse: gefundene Artefakte lassen sich konkreten ATT&CK-Techniken zuordnen → strukturierte Untersuchung
• Threat Hunting: Hypothesen anhand bekannter TTPs eines Threat Actors aufstellen
• Reporting: standardisierte ATT&CK-IDs erleichtern die Kommunikation zwischen CERTs
• ATT&CK ist die gemeinsame Sprache der IT-Sicherheitsgemeinschaft — Unified Kill Chain ist teilweise davon abgeleitet

IR Process (Gerard Johansen, 6 Phasen)

IR Cycle (erweitertes Modell) ergänzt zwei Punkte: Scoping (bestimmt den Untersuchungsumfang) und Intelligence Development (in die Containment-Phase integriert, verhindert Fehlentscheidungen).

Die 4 Kernrollen im IR-Team

SOC vs. CERT vs. IT-Forensics-Team: SOC = zentrale operative Defensive (Passive Defense Technology). CERT/CSIRT = Forschung, Erkennung, IR — zentraler Ansprechpartner. IT-Forensics = Beweissicherung und -analyse, meist nicht im Tagesbetrieb.

Die 7 Defenses (7Ds) (Hutchins, Cloppert & Amin)

In jeder Kill-Chain-Phase stehen dem Defender diese Maßnahmen zur Verfügung — abgebildet in einer Course-of-Actions-Matrix (Phase × 7D):

Merkhilfe: 3× „Di“ (Discover, Detect, Disrupt) + 2× „De“ (Deny, Degrade) + 2× „D“ (Deceive, Destroy).

Digital Forensics — im Kontext von IR

• Regel 1 & 2 der Forensik: 4-Augen-Prinzip · Beweise nicht verändern
• Timelines vs. Kill Chains: Timelines rekonstruieren rückblickend, Kill Chains unterstützen laufende Incidents flexibler — beide sind ineinander konvertierbar

Triage — 3 Schweregrade

5 Key Principles erfolgreichen IR

Bell-LaPadula vs. Biba

Merktrick: Bell-LaPadula = „keine Geheimnisse nach unten, keine Spionage nach oben“. Biba = gespiegelt — „kein Lesen aus unsicheren Quellen, kein Schreiben nach oben“.

Das IR-Kommunikationsdilemma

Intelligence-driven IR lebt vom Informationsaustausch — aber nur an vertrauenswürdige Stellen, ohne dass Angreifer mitlesen. Militärische Klassifikation (VSA) skaliert dafür schlecht. Lösung: Kontext wechseln — wer muss die Information gerade wissen? → Traffic Light Protocol.

TLP 2.0 — die vier Labels

Die 6 TLP-Prinzipien

1. Es gibt Abstufungen bei Verarbeitung und Weitergabe — das Label
2. Der Sender definiert das Label und bringt es sichtbar an
3. Alle übermittelten Informationen werden diesem Label zugeordnet
4. Sender ergänzt Informationen mit einem TLP-Informationsblatt
5. Der Empfänger akzeptiert das Label und hält die Klassifikation ein
6. Bei Verstoß: Empfänger gilt als nicht mehr vertrauenswürdig → nur noch TLP:CLEAR-Niveau

Fallbeispiel: gleiche Situation, gestufte Kommunikation

Warum ergänzend zur Kill Chain?

Die Kill Chain qualifiziert gesammelte Intelligence nicht ausreichend. Das Diamond Model fügt Tiefe hinzu: jedes Datenstück eines Angriffs lässt sich auf eine der vier Ecken abbilden — das ermöglicht Single- und Cross-Intrusion-Analyse. Es ersetzt die Kill Chain nicht, sondern ergänzt sie.

Die 4 Core Features

6 Meta Features

• Timestamp — Start/Ende, ermöglicht zeitliche Gruppierung
• Phase — Verknüpfung mit der Kill-Chain-Phase
• Result — Post-Bedingungen, oft beschreibbar via CIA
• Direction — Netzwerkrichtung, relevant für Mitigation
• Methodology — allgemeine Klasse der Aktivität
• Resources — Software, Knowledge, Information, Hardware, Funds, Facilities, Access

Jedes Feature trägt einen eigenen Confidence Value (0–100 %, Sherman-Kent-Skala).

7 Axiome (Kern)

• Axiom 1: In jedem Event nutzt ein Adversary eine Capability über Infrastructure gegen ein Victim, um ein Ergebnis zu erzielen
• Axiom 6: Zwischen Adversary und Victim besteht immer eine Beziehung — und sei sie noch so indirekt
• Axiom 7: Ein Persistent Adversary (APT) hält Effekte über Zeit aufrecht und widersteht Mitigationsversuchen

Pivoting — vier Ansätze

Wahrscheinlichkeiten entlang eines Pfades werden multipliziert: P(Pfad) = p₁ × p₂ × … × pₙ. Bei mehreren Pfaden gilt immer der stärkste (höchste Wahrscheinlichkeit).

Drei Analyse-Konzepte für komplexe Investigations

Vertikale Korrelation füllt Lücken innerhalb eines Threads. Horizontale Korrelation verknüpft zwischen Threads verschiedener Victims und deckt gemeinsame Merkmale (Modus Operandi) auf.

Optimal vs. suboptimal

Optimale Strategien garantieren das beste Ergebnis, sind aber rechenintensiv und overfitten leicht bei wackligen Modellannahmen. Suboptimale Strategien liegen unter dem Optimum, sind aber oft gut genug und schneller anwendbar — im IR häufig die pragmatischere Wahl (Analogie: John Snows Cholera-Kartierung 1854 — kein Beweis, aber richtiges Handeln).

Satisficing (satisfying + suffice)

Die Standardmethode der meisten Analysten: die erste „gut genug“ erscheinende Hypothese wählen, statt alle Alternativen systematisch zu prüfen.

Die drei Schwächen des Satisficings

Analysis of Competing Hypotheses (ACH)

Strukturierte Gegenmaßnahme zu den Satisficing-Schwächen: alle vernünftigen Hypothesen explizit identifizieren und gegeneinander konkurrieren lassen — statt sie einzeln nacheinander zu bewerten.