10.5. Wiederherstellen von Ressourcen
W�hrend eine Vorfallsreaktion ausgef�hrt wird, sollte das CERT-Team auf Daten- und Systemwiederherstellung hinarbeiten und diese untersuchen. Es liegt jedoch in der Natur der Sicherheitsverletzung, wie bei der Wiederherstellung zu verfahren ist. Backups oder redundante Systeme offline zu haben, hat sich in dieser Situation als unermesslich wertvoll erwiesen.
Um Systeme wiederherzustellen, muss das Team jegliche ausgefallenen Systeme oder Applikationen wie z.B. Authentifitzierungsserver, Datenbankserver und alle anderen Produktionsressourcen wieder online bringen.
Es wird dringend empfohlen, Backup-Hardware f�r die Produktion einsatzbereit zu haben. Dies umfasst Extra-Festplatten, Ersatz-Server und �hnliches. Fertige Systeme sollten bereits alle Software geladen haben und f�r sofortigen Einsatz bereit sein. Es m�ssen dann vielleicht nur die allerneuesten Daten importiert werden. Dieses fertige System sollte isoliert vom potentiell betroffenen Netzwerk gehalten werden. Tritt ein Sicherheitsbruch auf und das Backup-System ist Teil des Netzwerks, ist es zwecklos, �berhaupt ein Backup-System anzulegen.
Systemwiederherstellung ist ein umst�ndlicher Prozess. In vielen Situationen gibt es zwei Methoden, aus denen man ausw�hlen muss. Administratoren k�nnen entweder das Betriebssytem neu installieren, gefolgt von einer Neuinstallation aller Applikationen und Daten oder alternativ dazu kann der Administrator das System auch mit einem Patch versehen und das betroffene System wieder zur Produktion zur�ckbringen.
10.5.1. Neuinstallieren des Systems
Das Durchf�hren einer sauberen Neuinstallation versichert, dass das betroffene System von allen Trojanern, Backdoors und b�swilligen Prozessen gereinigt wird. Eine Neuinstallation stellt au�erdem sicher, dass jegliche Daten (wenn von einer vertrauensw�rdigen Quelle wiederhergestellt) von b�swilligen Ver�nderungen gereinigt werden. Der Nachteil einer vollst�ndigen Systemwiederherstellung ist der Zeitaufwand, das System von Grund auf neu aufzubauen. Wenn jedoch ein aktuelles Backup-System vorhanden ist, bei dem Sie nur die neuesten Daten hinzuf�gen m�ssen, wird die Systemausfallzeit erheblich verringert.
10.5.2. Das System mit Patches versehen
Die zweite M�glichkeit ist, die betroffenen Systeme mit einem Patch zu versehen. Diese Wiederherstellungsmethode ist risikoreicher und sollte nur mit gro�er Vorsicht durchgef�hrt werden. Die Gefahr eines Patches anstelle einer Neuinstallation ist das Feststellen, ob Sie das System ausreichend von Trojanern, Sicherheitsl�chern und korrupten Daten gereinigt haben. Wenn Sie einen modularen Kernel verwenden, kann das Patchen eines Systems noch wesentlich schwieriger werden. Die meisten rootkits (Programme oder Pakete, die ein Cracker hinterl�sst, um Root-Zugang zu Ihrem System zu erhalten), trojanische Systembefehle und Shell-Umgebungen wurden so entwickelt, dass ihre boswilligen Aktivit�ten bei Pr�fungen nicht gefunden werden. Verwenden Sie die Patch-Methode, sollten nur vertrauensw�rdige Binaries (wie zum Beispiel von einer Nur-Lese-CD-ROM) verwendet werden.
