Deutsch
Menü

Cyberangriffe und Abwehr in der Praxis

Ein Entwickler hat versehentlich eine Konfigurationsdatei mit dem API-Schlüssel eines Cloud-Dienstes in ein öffentliches Git-Repository committet. Sobald er es bemerkte, committete er eine Änderung, die die Datei löscht. Welche anschließende Reaktion ist am besten geeignet?

  1. ADa die Löschung committet wurde, kann niemand den Schlüssel mehr sehen, und weitere Maßnahmen sind nicht nötig
  2. BDa er in der Historie bleibt und möglicherweise schon abgegriffen wurde, wird der Schlüssel sofort ungültig gemacht und durch einen neuen ersetzt, und anhand der Nutzungsaufzeichnungen wird geprüft, ob er missbraucht wurde
  3. CWird das Repository umbenannt, sind die unter dem alten Namen veröffentlichten Inhalte nicht mehr zugänglich; der abgeflossene Schlüssel kann daher weiterverwendet werden
Antwort und Erläuterung anzeigen

Antwort: B. Da er in der Historie bleibt und möglicherweise schon abgegriffen wurde, wird der Schlüssel sofort ungültig gemacht und durch einen neuen ersetzt, und anhand der Nutzungsaufzeichnungen wird geprüft, ob er missbraucht wurde

In Git bleibt die frühere Version auch nach dem Committen einer Löschung in der Historie und kann von jedem abgerufen werden. Öffentliche Repositorys werden von Programmen, die nach Zugangsdaten suchen, innerhalb kurzer Zeit automatisch durchsucht; was veröffentlicht wurde, gilt daher als abgeflossen. Am wichtigsten ist, den Schlüssel ungültig zu machen und durch einen neuen zu ersetzen; danach werden die Nutzungsaufzeichnungen geprüft und der Schlüssel bei Bedarf auch aus der Historie entfernt. Um eine Wiederholung zu verhindern, werden Zugangsdaten in einem Secrets-Management-Dienst abgelegt, und vor dem Commit wird ein Mechanismus eingesetzt, der Geheimnisse erkennt (Secret Scanning).

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Cyberangriffe und Abwehr in der Praxis

  1. Für vier Sicherheitsvorfälle einer Organisation betrugen die Zeit vom Auftreten bis zur Erkennung und die Zeit von der Erkennung bis zur Eindämmung: Fall 1: 10 und 4 Stunden, Fall 2: 30 und 2 Stunden, Fall 3: 2 und 6 Stunden, Fall 4: 6 und 4 Stunden. Welche Kombination aus der mittleren Zeit vom Auftreten bis zur Erkennung (MTTD) und der mittleren Zeit von der Erkennung bis zur Eindämmung (MTTC) ist richtig?
  2. Für Ransomware-Schäden wurden der Schaden pro Ereignis (SLE) auf 40 Millionen Yen und die jährliche Häufigkeit (ARO) auf 0,5-mal geschätzt. Maßnahme A kostet jährlich 6 Millionen Yen und senkt die Häufigkeit auf 0,2-mal pro Jahr. Maßnahme B kostet jährlich 3 Millionen Yen und lässt die Häufigkeit unverändert, beschleunigt aber die Wiederherstellung und senkt den Schaden pro Ereignis auf 24 Millionen Yen. Es gelte jährliche Verlusterwartung (ALE) = SLE × ARO und ROSI = (Verringerung der ALE − jährliche Kosten der Maßnahme) ÷ jährliche Kosten der Maßnahme. Welche Kombination aus der Maßnahme mit dem größeren ROSI und ihrem Wert ist richtig?
  3. Ein IDS untersucht pro Tag 1 Million Verbindungen, von denen 100 tatsächlich Angriffe sind. Das IDS erkennt 99 % der Angriffe und stuft 0,1 % der Verbindungen, die keine Angriffe sind, fälschlich als Angriff ein. Welcher Wert liegt dem Anteil der IDS-Warnungen, die tatsächlich Angriffe sind, am nächsten?
  4. In einem SOC erzeugt das SIEM 1440 Warnungen pro Tag, die gleichmäßig über den Tag verteilt auftreten. Durch die automatische Verarbeitung mit SOAR werden 75 % der Warnungen ohne Prüfung durch Analysten erledigt; die übrigen Warnungen erfordern im Mittel 10 Minuten Analystenarbeit pro Warnung. Analysten sollen ohne Pause arbeiten können. Wie viele Analysten müssen mindestens ständig eingesetzt sein, damit die Warnungen ohne Rückstand im Tempo ihres Auftretens bearbeitet werden?
  5. Die 2011 von Lockheed Martin vorgestellte Cyber Kill Chain teilt den Ablauf eines gezielten Angriffs in sieben Phasen ein. Welche Reihenfolge der Phasen ist richtig?