Français
Nederlands
EnglishCompromise Assessment
Eine ohne Ihr Wissen versendete E-Mail, eine veränderte Rechnung bei einem Kunden, Zugangsdaten in einem Datenleck: Bevor Sie auf einen Einbruch schließen oder ihn ausschließen, brauchen Sie Fakten. Wir suchen nach Spuren eines Angreifers in Ihren Systemen, mit Umfang und Leistungen, die im Voraus feststehen.
Wann eine Prüfung sinnvoll ist
- Ein Kunde oder Lieferant hat eine betrügerische E-Mail oder Rechnung erhalten, die von Ihnen zu stammen scheint.
- Ihre Zugangsdaten oder die Ihrer Mitarbeitenden tauchen in einem Datenleck auf.
- Ein Partner, Ihr IT-Dienstleister oder eine von Ihnen genutzte Software wurde gehackt.
- Ein Vorfall wurde ohne Untersuchung „bereinigt“, und Sie möchten wissen, ob der Angreifer wirklich verschwunden ist.
- Vor einer Unternehmensübernahme oder nach dem konfliktreichen Ausscheiden einer Person mit Administratorrechten.
Was wir untersuchen
Konten und Postfächer
Ungewöhnliche Anmeldungen, Weiterleitungsregeln, delegierte Zugriffe, zugelassene Anwendungen und ohne Ihr Wissen versendete E-Mails.
Arbeitsplätze und Server
Persistenzmechanismen, geplante Aufgaben, ohne Ihr Wissen installierte Fernwartungswerkzeuge und Ausführungsspuren.
Verzeichnisdienst und privilegierte Konten
Angelegte oder reaktivierte Konten, Aufnahmen in Administratorgruppen und unerklärte Rechteänderungen.
Fernzugriff und Perimeter
Protokolle von VPN, Firewall und Fernzugriffen, aus dem Internet erreichbare Dienste.
Abgeflossene Zugangsdaten
Vorkommen Ihrer Domains und Adressen in bekannten Datenlecks.
Kompromittierungsindikatoren
Abgleich mit den Indikatoren, die zu laufenden Kampagnen veröffentlicht werden, unter anderem vom CCB.
Ablauf
Ein Compromise Assessment kann nicht beweisen, dass kein Angreifer da ist: Es stellt fest, was die untersuchten Spuren zeigen und was sie nicht abdecken. Deshalb wird der Umfang schriftlich festgelegt.
Abgrenzung
Umfang (Konten, Arbeitsplätze, Server, Zeitraum), verfügbare Quellen und Zugänge, schriftlich festgelegt mit Frist und Preis.
Erhebung
Sicherung von Protokollen und Spuren mit anerkannten Werkzeugen, ohne Ihren Betrieb zu unterbrechen und unter Wahrung ihres Beweiswerts.
Analyse
Suche nach Anzeichen von Einbruch und Persistenz, Abgleich der Quellen und manuelle Prüfung jeder Warnung.
Ergebnis
Bericht: was untersucht wurde, was gefunden wurde und wo die Grenzen der Prüfung liegen. Bestätigt sich eine Kompromittierung, geht der Auftrag mit Ihrem Einverständnis in eine Incident Response über.
Häufige Fragen
Was ist der Unterschied zu einem Penetrationstest?
Ein Penetrationstest sucht die Türen, die ein Angreifer nutzen könnte. Ein Compromise Assessment sucht die Spuren eines Angreifers, der bereits eingedrungen sein könnte. Beide ergänzen sich.
Und wenn Sie etwas finden?
Wir informieren Sie sofort, ohne den Bericht abzuwarten. Die erhobenen Spuren bleiben gesichert, und der Auftrag kann mit Ihrem Einverständnis als Incident Response fortgesetzt werden.
Muss Software auf unseren Geräten installiert werden?
Das hängt von den verfügbaren Quellen ab. Die Protokolle Ihrer Onlinedienste werden mit Lesezugriff ausgewertet; auf Arbeitsplätzen und Servern kann vorübergehend ein Erhebungswerkzeug ausgeführt werden. Die Abgrenzung legt fest, was eingesetzt wird.
Heißt „nichts gefunden“ auch „kein Risiko“?
Nein. Es bedeutet, dass im untersuchten Umfang und für den Zeitraum, den die verfügbaren Protokolle abdecken, keine Spuren einer Kompromittierung gefunden wurden. Der Bericht sagt das ausdrücklich und schlägt Maßnahmen vor, um einen nächsten Versuch besser zu erkennen.