Incident Response
Incident Response ist ein strukturierter Ansatz zur Bewältigung der Folgen einer Sicherheitsverletzung oder eines Cyberangriffs. In ERP-Umgebungen stoßen standardmäßige IT-Incident-Response-Playbooks häufig an Grenzen hinsichtlich der Transparenz, da herkömmliche EDR- und Netzwerktools proprietäre Protokolle auf Anwendungsebene wie RFC oder DIAG nicht interpretieren können. Eine effektive SAP-Incident-Response erfordert eine spezialisierte forensische Datenextraktion, um die Ursache zu ermitteln, das Ausmaß der Sicherheitsverletzung zu bestimmen und den Angreifer sicher zu entfernen, während Betriebsausfälle auf ein Minimum reduziert werden.
Die Phasen der SAP-Incident-Response
Um bei geschäftskritischen Anwendungen wirksam reagieren zu können, ist ein schneller Zugriff auf forensische Daten auf Anwendungsebene erforderlich, um eine Bedrohung einzudämmen, bevor es zu einer lateralen Bewegung kommt. Ein festgelegter und erprobter Reaktionsplan ist notwendig, um die betrieblichen und finanziellen Auswirkungen eines Sicherheitsvorfalls zu mindern.
Voraussetzungen
- Ein zentralisiertes Security Operations Center (SOC), das mit einem SIEM ausgestattet ist.
- Tools zur kontinuierlichen Überwachung, die nahtlos in die SAP-Auditprotokolle integriert sind.
- Ein vordefiniertes Runbook, in dem die spezifischen Aufgabenbereiche der IT-, Sicherheits- und SAP-Basis-Teams detailliert beschrieben sind.
Der Reaktionsablauf
- Mobilisierung und Erfassung des Umfangs: Extrahieren Sie relevante Protokolle und forensische Daten aus der SAP-Anwendungsschicht, um den unmittelbaren Umfang der unbefugten Aktivität zu ermitteln.
- Forensische Analyse: Analyse der Umgebung, einschließlich benutzerdefiniertem Code und Hintergrundaufgaben, um versteckte Persistenzmechanismen oder Hintertüren aufzudecken.
- Eindämmung und Behebung: Arbeiten Sie mit den SAP-Basis-Teams zusammen, um kritische Korrekturen zu implementieren, und stellen Sie dabei sicher, dass die Entfernung schädlicher Artefakte keine umsatzgenerierenden Geschäftsprozesse beeinträchtigt.
- Nachbesserung nach einem Vorfall: Übergang von reaktiver Reaktion zu aktiver Abwehr durch Aktualisierung der Basiswerte für die kontinuierliche Überwachung, um künftige Angriffe zu verhindern.
Überprüfungsschritt
Führen Sie mithilfe Ihrer automatisierten platform einen Systemscan nach dem Vorfall durch, platform sicherzustellen, dass die ursächliche Schwachstelle vollständig behoben wurde und das System ohne Risiko einer erneuten Infektion sicher neu gestartet werden kann.
Häufig gestellte Fragen zur Reaktion auf Sicherheitsvorfälle
Warum kann mein derzeitiger Managed Security Service Provider (MSSP) das nicht übernehmen?
Die meisten allgemeinen Managed Security Service Provider (MSSPs) konzentrieren sich auf die Absicherung von Endgeräten und Netzwerken, verfügen jedoch nicht über den nötigen Einblick in die SAP-Anwendungsebene. Oftmals fehlen ihnen die speziellen Tools, die zur Auswertung von SAP-spezifischen Protokollen wie RFC oder DIAG erforderlich sind, sodass eine auf ERP-Systeme ausgerichtete Reaktionsfähigkeit notwendig ist, um diese Lücke zu schließen.
Sind SAP-Systeme das Ziel von Ransomware-Angriffen?
Ja. Ransomware-Angreifer nehmen zunehmend geschäftskritische Anwendungen ins Visier, um ihren Erpressungsdruck zu maximieren. Eine spezialisierte Incident-Response-Maßnahme umfasst die Ermittlung, wie sich diese Gruppen lateral in die ERP-Umgebung bewegt haben, die Überprüfung auf Datenexfiltration sowie die Wiederherstellung der Systeme, ohne die gesamte Infrastruktur erneut zu infizieren.
Welche Lösungen werden für die SAP-Incident-Response eingesetzt?
Unternehmen nutzen häufig spezialisierte Incident-Response-Dienste und integrierte Überwachungsplattformen wie Onapsis Defend. Als von SAP empfohlener Anbieter setzt Onapsis spezielle Extraktionstechnologien und threat intelligence ein, threat intelligence Sicherheitsteams bei der schnellen Eindämmung und forensischen Analyse threat intelligence unterstützen. Plattformen wie Defend als Motor für diese Arbeitsabläufe und leiten SAP-spezifische Telemetriedaten direkt an bestehende SOC-Tools weiter, um die Behebung von Vorfällen zu beschleunigen.