DFIR-Rahmenvertrag
“Incident Response Dienstleister”

DFIR steht für „Digital Forensics and Incident Response“ (Digitale Forensik und Vorfallsreaktion). Es handelt sich um ein Spezialgebiet innerhalb der Informationssicherheit, welches sich mit der Identifikation, Untersuchung und Reaktion auf Sicherheitsvorfälle und Cyberangriffe befasst.

Ein DFIR-Projekt folgt, wenn es sich nicht um eine Einzelanalyse handelt, in der Regel einem strukturierten Ablauf, der mehrere Phasen (die sogenannten „Workstreams“) umfasst. Jeder Workstream hat spezifische Ziele und Aufgaben, die dazu beitragen, den Sicherheitsvorfall zu bewältigen, die Auswirkungen zu minimieren und die betroffenen Systeme wiederherzustellen.

Die Besonderheit der @-yet besteht darin, dass alle Phasen eines DFIR-Projektes abgedeckt werden können. Während viele Unternehmen ausschließlich stark in der reinen Analyse sind, bietet die @-yet das gesamte Krisenmanagement, Bereinigung und Wiederanlauf sowie die nachfolgende allgemeine Absicherung an.

Das wird durch die interdisziplinären Teams der @-yet möglich. Während ein Team die Analyse und Dokumentation übernimmt, beginnt ein zweites mit der Absicherung der Infrastruktur und dem Wiederaufbau der betroffenen Systeme. Ein weiteres Team unterstützt währenddessen bei Behandlung eventueller Datenschutzverletzungen und übernimmt – oft zusammen mit Partnern – die Rechtsberatung.

Die @-yet DFIR-Teams werden in einer Vielzahl von Sicherheitsvorfällen aktiv, die unterschiedliche Bedrohungen und Angriffe umfassen.

• Großschadenlagen
  • Krisenmanagement: Die @-yet übernimmt Krisenmanagement und -kommunikation, stellt den Krisenmanager und baut die Krisenorganisation auf.
  • Ransomware: Analyse und Wiederherstellung verschlüsselter Daten und Systeme.
  • Advanced Persistent Threats (APTs): Abwehr langfristiger Angriffe, die dem Ziel dienen, Informationen bspw. im Rahmen von Industriespionage zu stehlen. Die @-yet ist qualifizierter APT-Response-Dienstleister.
• Einzelanalysen (meist als Teil der zuvor genannten Großschadenlagen)
  • Schadsoftware-Infektionen: Analyse von Schadsoftware, die Systeme infiziert und verschiedene schädliche Aktivitäten ausführt.
  • Datenlecks und Datenschutzverletzungen: Unautorisierte Personen erhalten Zugang und entwenden vertrauliche Informationen, oft zum Zweck von Identitätsdiebstahl oder Industriespionage.
  • Netzwerksicherheitsvorfälle: DDoS-Angriffe (Distributed Denial of Service), die darauf abzielen, Systeme durch Überlastung lahmzulegen.
  • Man-in-the-Middle-Angriffe: Abfangen und Manipulieren von Kommunikation zwischen zwei Parteien ohne deren Wissen.
  • Phishing und Social Engineering: Täuschungstechniken, um Benutzer zur Preisgabe sensibler Informationen oder Installation von Schadsoftware zu bringen.
  • Angriffe auf öffentlich erreichbare IT-Systeme, z. B. Webanwendungen: Meist der Beginn vieler großer Angriffe. Auch der Verdachtsfall wird analysiert.
  • Kompromittierung von Benutzerkonten: Verwenden gestohlener Zugangsdaten, um sich Zugang zu verschiedenen Konten zu verschaffen.
  • Cloud-Forensik: Analyse von Cloud-Umgebungen, z. B. EntraID von Microsoft und andere auf Einbruchsspuren und Angreiferaktivitäten
  • Schwachstellenausnutzung: Ausnutzung von Schwachstellen in Software oder Hardware.
  • Physische Sicherheitsvorfälle: Diebstahl oder Sabotage von Geräten: Verlust oder Beschädigung von Geräten, die vertrauliche Informationen enthalten.
  • IoT- und OT-Sicherheitsvorfälle: Angriffe auf vernetzte Geräte, die oft weniger gesichert sind, häufig im Bereich industrieller Steuerungssysteme und kritischer Infrastruktur (OT).
• Sonstiges
  • Post mortem Analysen: Nachträgliche forensische Analysen, z. B. die Cyber-Versicherung benötigt einen Bericht, der damalige Forensikdienstleister hat aber keinen erstellt.
  • Privatgutachten: Beratung von Anwälten vor Gericht und Bewertung von Analyseberichten Dritter für Versicherungen und Kunden. Erstellung von Gegen-Gutachten.
  • Ermittlung zu Industriespionage: Untersuchungen von möglichem Know-how-Abfluss, z.B. wenn Produkte sehr ähnlich andernorts hergestellt oder Patente von Dritten zuerst angemeldet wurden.
  • Insider-Bedrohungen: Mitarbeitende, die aus persönlichen oder finanziellen Gründen absichtlich Schaden verursachen oder versehentlich Sicherheitsmaßnahmen umgehen oder gefährden.
  • Analyse von Endgeräten: Endgerätecheck von Notebooks und PCs, gelegentlich Smartphones und Tablets bei Verdachts einer Kompromittierung.
  • Threat Hunting / IoC Scanning: Suche nach bekannten Merkmalen einer Kompromittierung über eine komplette IT-Ifrastruktur oder einzelne, anlasslos oder ihm Rahmen einer Incident Reponse.