Who you gonna call?
Neuneinhalb Alarme, die kein Security Analyst sehen will

Ich habe diesen einen Ohrwurm, wenn ich an eine bestimmte Art von Alarmen gebastelt habe.

Auch jetzt poppt der Refrain sofort hoch. Bitte fragen Sie mich nicht, wieso mein Gehirn sich diese Verknüpfung gebaut hat, aber sie ist so treffend.

Es ist der Teil des Refrains "Who you gonna call?" und dann der Sound dieser unverkennbaren Sirene.

(Ich entschuldige mich jetzt schon für einen möglichen Ohrwurm.)

Diese neuneinhalb Regeln im SIEM lösten den Reflex aus.

Auch wenn ich manche Dinge sehr humoristisch geschrieben habe, hoffe ich, dass Sie diese Alarme niemals sehen müssen.

Und viel wichtiger, dass Sie diese Alarme haben.

Jemand baut gerade Mail-Infrastruktur, die aussieht wie Ihre. Ein MX-Record auf einer Tippfehler-Domain, das ist weaponizing.

Bei Ihnen dürfte das kein Problem sein, denn Sie blocken bestimmt Lookalike Domains von extern.

Aber was ist mit Ihren Kunden und Lieferanten? Wenn diese jetzt eine E-Mail von "Ihrer Firma" mit "neuer" Bankverbindung bekommen.

Geräte, die nicht im Inventar stehen. Entweder wird irgendwo Wartung gemacht mit einem verseuchten Client, oder die Shadow IT mit dem gewissen "Extra" meldet sich.

Beides heißt: Solange die Malware direkt gelöscht/geblockt wird, eine "entspannte" Suche nach der Ursache. Wenn aber die Malware "not cleaned" reported wurde, wird es hektisch.

Eine SPS hat keinen Grund, das Internet zu erkunden. Etwas in der Fertigung möchte nach Hause telefonieren. Und wir alle wissen, es ist nicht E.T.

Hinzu kommt, es ist der Teil des Netzes, in dem Sie am wenigsten patchen, am wenigsten sehen und am wenigsten abschalten dürfen.

Leider kein spontaner Urlaub vom Admin. Das Passwort und vermutlich der zweite Faktor sind nicht mehr seins. Und wer Intune hat, kann ... naja das überlasse ich mal Ihrer Fantasie. Ich tippe auf ein Script für alle verwalteten Geräte der Firma. Das Script dürfte so ein "Verschlüsselungsservice" beinhalten.

Frage, ist das jetzt ein neuer Cloud-Service, der eingekauft wurde, und niemand wurde informiert. Oder ist es die Exfiltration vor der Verschlüsselung. Die Vorbereitung für Double Extortion, während Sie den Alarm lesen. Was diesen Alarm so entspannt macht ist, die GBs sind schon unterwegs.

Ein Client hat gerade alle Passwort-Hashes der Domäne abgeholt, inklusive krbtgt. The one and only Golden Ticket is now available for your personal threat actor. Wenn true positive, dann heißt es "Ade, ihr Pläne der nächsten Wochen". Erstmal das krbtgt zweimal zurücksetzen und alle Credentials neu. Im Zweifel die Domäne neu aufsetzen. Hoffentlich haben Sie einen guten Incident Response Plan und ihn schon mal getestet.

Dieser Alarm erzeugt den ähnlichen Reflex wie Platz 4.a. Nur sitzt der Angreifer schon auf dem DC und macht Credential Dumping. Es ist nicht nur ein Konto kompromittiert. Nein, es ist die Firma. Was sagt eigentlich Ihre Security-Zone? Wird der Verzeichnisdienst auch für die Produktion genutzt? Und da wären wir wieder beim guten Incident Response Plan.

Der Angreifer räumt die Schattenkopien weg. Wenn Sie das jetzt sehen, hat der Angreifer schon 5. und 4. erledigt, ohne dass Sie es gemerkt haben. Und damit nichts mehr wiederherstellbar ist, "wird der Speicherplatz wieder freigegeben". Das ist meist der letzte Schritt vor Platz 2. Ab jetzt dauert es nur noch Minuten, für die letzten beiden.

Es ist so weit. Ab jetzt heißt es, alles, was in derselben Blast-Zone war, vom Netzwerk trennen. Sehr viel Kaffee kochen, auch wenn Sie es nicht mögen. Kaffee war gemeint, es reicht auch als symbolischer Akt. Es wird jetzt etwas dauern, bis die Firma wieder "rund" läuft.

Los geht der Restore. Aber ab wann? Wie können Sie sicher sein, dass die Backups sauber sind?

Dann also doch alles (ja, alles. Server, Clients, Handheld, Scanner, Drucker, ... Factory Reset lässt grüßen) neu aufsetzen und nur Files wiederherstellen, die vorher überprüft worden sind.

Was soll ich sagen. Ich würde schon mal bei Marketing und Legal anklopfen, damit der CEO und die Statements vorbereitet sind.

Und denken Sie an die NIS2 (24h) / DSGVO (72h) Meldefristen. Daher vielleicht schonmal bei der einen oder anderen Behörde Meldung machen.

Denn die Welt weiß es jetzt auch.

Ich bin mal ehrlich, von der Liste habe ich vier gesehen. Ich bin dabei um viele Jahre gealtert, auch wenn sie sich als False Positives herausstellten.