eduCSIRT – Incident Response

Die Dienste des eduCSIRT unterstützen die bayerischen Hochschulen des Digitalverbundes Bayern bei der technischen und organisatorischen Bewältigung von IT-Sicherheitsvorfällen. Dies umfasst die Bereiche Vorfallsanalyse, Koordination der Bearbeitung von Vorfällen, forensische Analyse sowie die Unterstützung bei der Bereinigung betroffener Systeme. 

Nach erfolgreichem Onboarding können dem eduCSIRT IT-Sicherheitsvorfälle gemeldet werden. Die Reaktion auf gemeldete IT-Sicherheitsvorfälle erfolgt in der Regel innerhalb von vier Stunden. Bei der Bearbeitung der gemeldeten Vorfälle behält sich das eduCSIRT eine Priorisierung nach Schweregrad des Vorfalls, Anzahl an betroffenen Organisationen und verfügbaren Ressourcen, zum Zeitpunkt des Eintritts bzw. der Meldung des Vorfalls, vor.

Bei Bedarf kann das eduCSIRT-Team einen externen APT-Dienstleister zur Unterstützung hinzuziehen.

Leistungsumfang

Das eduCSIRT stellt nach erfolgreich abgeschlossenem Onboarding die Dienste

• Vorfallsannahme und -analyse
• Koordination der Behandlung von Vorfällen
• Forensische Analyse
• Unterstützung bei der Mitigation und Bereinigung des Systems

 zur Verfügung.

Vorfallsannahme und -analyse

Die teilnehmenden Hochschulen können IT-Sicherheitsvorfälle an die E-Mail-Adresse, per Webformular oder Telefon melden. Fehlende Informationen werden nach Rücksprache mit den eduCSIRT Mitarbeitern ergänzt und Erstinformationen bereitgestellt. Die Hochschule unterstützt das eduCSIRT außerdem bei der Sammlung und Bereitstellung von Daten und Dateien für die Vorfallsanalyse. Anschließend wird der Vorfall analysiert und das weitere Vorgehen mit der Hochschule abgestimmt. Im Rahmen des Onboardings erhält die betroffene Hochschule Zugang zum eduCSIRT Notfallpaket. Dieses beinhaltet unter anderem Anleitungen zur Installation notwendiger Software, insbesondere zum Scan betroffener Systeme sowie Hinweise und weitere Dokumente, die im Rahmen der Vorfallsbehandlung von der Hochschule genutzt werden können. 

Koordination der Behandlung von Vorfällen

Das eduCSIRT unterstützt auf Anfrage und in Abstimmung mit der Hochschule bei der Kommunikation mit externen Interessensgruppen, z.B. staatlichen Behörden und Institutionen. Hierzu zählt nicht die Öffentlichkeitsarbeit im Rahmen der Vorfallbewältigung. Diese wird ausschließlich von den Hochschulen übernommen. Im Rahmen der Vorfallskoordination werden anonymisierte Daten zum Vorfall u.U. mit anderen CERTs geteilt.

Forensische Analyse

Das eduCSIRT bietet die Möglichkeit zur forensischen Analyse der betroffenen Systeme an. Dies erfolgt einerseits durch die Analyse von der Hochschule hochgeladener Daten, durch die Analyse von Daten, die vor Ort durch eduCSIRT Mitarbeiter gesammelt werden oder bei tiefgreifenden forensischen Analysen durch einen externen Dienstleister, der in Absprache mit der Hochschule hinzugezogen wird.

Unterstützung bei der Mitigation und Bereinigung des Systems

Das eduCSIRT berät die Hochschulen bei der Überprüfung und Bereinigung potentiell betroffener Systeme. Der Wiederaufbau der im Vorfall kompromittierten Systeme ist nicht Teil der Leistung des eduCSIRTs.