Cloud-Forensik

Zwei Dinge, und zwar sofort: die Protokollierung auf die höchste verfügbare Stufe stellen und den Export der vorhandenen Protokolle anstoßen. Beides kostet nichts und ist nicht nachholbar. Löschen Sie nichts, ändern Sie keine Regeln und sperren Sie das verdächtige Konto nicht überstürzt — ein gesperrtes Konto warnt den Angreifer, bevor Sie wissen, was er getan hat.

Ja, aber mit einer schmaleren Grundlage. Ein Teil der aussagekräftigsten Protokolle ist an höhere Lizenzstufen gebunden und lässt sich rückwirkend nicht erzeugen. Wir sagen Ihnen zu Beginn, welche Fragen mit Ihrem Lizenzumfang beantwortbar sind und welche offenbleiben — statt am Ende eine Lücke als Ergebnis zu verkaufen.

Für die Plattform ja. Für Ihre Konfiguration, Ihre Rechte und Ihre Identitäten nicht. Praktisch alle Vorfälle, die wir untersuchen, entstehen auf Ihrer Seite dieser Grenze — meist über ein übernommenes Konto. Der Anbieter liefert Ihnen die Protokolle, die Bewertung müssen Sie leisten.

Was über die üblichen Schnittstellen erreichbar ist, holen wir selbst. Darüber hinausgehende Anfragen an den Anbieter dauern und führen nicht immer zum Ziel. Wir planen die Untersuchung deshalb so, dass sie mit den Daten auskommt, an die Sie selbst herankommen.

Es gibt keinen Datenträger, den man sichern könnte, und keinen Arbeitsspeicher, den man auslesen könnte. An deren Stelle treten Protokolle, die jemand anderem gehören und nach fremdem Zeitplan verschwinden. Deshalb dreht sich die Reihenfolge um: Erst sichern, dann fragen, was untersucht werden soll.