Polynomial
2012-11-19 19:59:04 UTC
Wenn ein Computer mit Malware infiziert wurde, identifizieren die meisten von uns hier sofort die entsprechende Aktion als "Nuklear aus dem Orbit" - d. h. das System löschen und neu starten. Leider ist dies für ein Unternehmen oft kostspielig, insbesondere wenn Backups nicht optimal konfiguriert sind. Dies kann zu Widerständen beim Management und bei Benutzern führen, die die Maschine nur noch für die Arbeit verwenden möchten. Schließlich können sie, soweit es sie betrifft, "nur AV darüber laufen lassen", und alles wird in Ordnung sein.
Wie erklären Sie das Problem dem Management und Benutzern nicht technischer Natur? Ich könnte leicht einen technischen Grund vorbringen, aber ich habe Probleme, den richtigen Wortlaut für nicht technische Benutzer zu finden. Ich würde besonders jede Art des Sprechens schätzen, mit der sich der Empfänger identifizieren kann, z. Ansprechen auf das Risikomanagement eines Managers.
Mehr zum Punkt. Wie können die Daten eines Benutzers sicher auf einen neuen Computer übertragen werden? Dies ist ein Problem, auf das ich stoße.
@ktothez Es ist besser, keine Benutzerdaten zu übertragen. Verlassen Sie sich beispielsweise auf ein sicheres Backup vor der Infektion. Bei Bedarf würde ich jedoch so etwas wie [meine Antwort] (http://security.stackexchange.com/a/24221/2568) MS Office-Dokumente in Klartextdokumente / CSV-Dateien auf dem infizierten Computer konvertieren und unter Linux booten Live-CD auf dem infizierten Computer, mounten Sie die infizierte Festplatte mit `-noexec` und kopieren Sie dann selektiv die begrenzte Anzahl von Nur-Text-Dokumenten vom infizierten Computer auf einen anderen Computer. Seien Sie jedoch misstrauisch, wenn Ihre Dateien böswillig geändert werden - z. B. Konfigurationsdateien, Kennwörter, Daten usw.
Reicht es nicht aus, nur zu sagen, dass die von Ihnen vorgeschlagene Vorgehensweise die einzige ist, die das gewünschte Ergebnis garantiert (vorausgesetzt natürlich, dass es die einzige Vorgehensweise ist, die das gewünschte Ergebnis garantiert)?
@ DR. jimbob Ich mache etwas ähnliches.
@ jah leider läuft die Show an den meisten Orten nicht. IT-Entscheidungen werden häufig von Personen außer Kraft gesetzt, denen IT-Kenntnisse fehlen.
@jah Leider nein. Das gewünschte Ergebnis für sie ist ein absolut minimaler Aufwand, um das Risiko zu mindern. Das gewünschte Ergebnis ist für mich ein absolut minimales Risiko. Der Trick besteht darin, eine Balance zu finden, die für beide Seiten der Medaille gut funktioniert. Leider kann dieses Gleichgewicht nur erreicht werden, wenn beide Seiten sich verstehen.
"Oh, mein Auto hat einen platten Reifen." "NUKE IT FROM ORBIT!"
@Polynomial: Jeder versteht (oder sollte) den Return on Investment. Der langfristig beste ROI ist wahrscheinlich Ihre Empfehlung - minimieren Sie das Risiko. Minimale Ausgaben sind auf lange Sicht wahrscheinlich teurer. Sogar das Management würde das nicht verstehen (wenn sie Ihnen vertrauen).
-1 * Wer sagt *, dass jede kleine Infektion ein Nuking aus dem Orbit erfordert?Wenn meine Hand anfängt zu schmerzen, müssen Sie dann amputiert werden, nur weil Sie denken, dass es sich um etwas handeln könnte, das sich auf den Rest meines Körpers ausbreiten könnte?Und * wer sagt *, dass es ausreichen könnte, auch nur aus dem Orbit zu nuking?Es besteht immer die Möglichkeit (wie weit entfernt auch immer), dass Ihre Malware z.infiziert die Firmware und überlebt ein Wischen.Wirklich, diese Frage macht keinen Sinn.
@Mehrdad Es hängt von Ihrem Risikomodell ab.Wenn Sie zu Hause ein Desktop-System betreiben, ist dies möglicherweise keine große Sache.Wenn Sie einen Webserver betreiben, der Kundendaten verarbeitet, ist das Ersetzen des Systems in vielen Szenarien sinnvoll.Die Upvote- / Downvote-Schaltflächen werden normalerweise verwendet, wenn die * Qualität * einer Frage schlecht ist und nicht, wenn Sie der Meinung sind, dass der Fragesteller falsch liegt.Wenn Sie mit der Prämisse nicht einverstanden sind, schreiben Sie eine entsprechende Antwort.
@Polynomial: Sie haben in Ihrer Frage * nichts * davon gesagt!* "Es kommt auf das Risikomodell an" * ...?Ja, genau das habe ich gesagt, und genau das ignoriert Ihre Frage.* "Ein Webserver, der Kundendaten verarbeitet" * ...?Nirgendwo in Ihrer Frage haben Sie angenommen, dass dies der Fall ist.Sie haben gerade "Maschine" gesagt, und nach allem, was der Leser weiß, könnten Sie über die Workstations Ihrer Ingenieure oder über Server sprechen, die sich nicht mit Kundendaten befassen.* "System austauschen" * ...?Sie sagten, wischen, nicht ersetzen, daher der letzte Teil meines vorherigen Kommentars.Für mich ist die Frage * von geringer Qualität ...
@Mehrdad Faire Punkte.Ich schrieb die Frage, ohne diese Dinge einzubeziehen, da ich die etwas philosophische Diskussion über Risikoappetit und Ansätze zur Reaktion auf Vorfälle vermeiden wollte.Natürlich sind diese Dinge wichtig, um eine Entscheidung darüber zu treffen, ob ein System aus dem Orbit entfernt werden soll, aber die Frage wurde aus einer Perspektive gestellt, in der (zumindest aus der Sicht eines Sicherheitsmanagers) die Auswahl aus dem Orbit * bereits * ausgewählt wurdeals die am besten geeignete Aktion.Es ist schwierig, einer nicht-technischen Person die Gründe dafür zu erläutern, und darum geht es in dieser Frage.