malware-cleanup-guide
malware-cleanup-guide (Deutsch)
Nach rescue-intake und endpoint-triage: Was tun mit dem Befund? Der Skill führt durch
die Entscheidung und die Ausführung. Er ist defensiv und gilt nur für Geräte, deren
Eigentümer eingewilligt hat. Er enthält keine Anleitung gegen fremde Systeme.
Leitsatz: Ein Gerät, dessen Umfang der Kompromittierung nicht sicher bekannt ist, gilt als nicht vertrauenswürdig. Bereinigen ist nur dann verlässlich, wenn man alles gefunden hat; im Zweifel gewinnt das Neuaufsetzen.
Regeln für jede Änderung: (1) erst ein Abbild oder Backup, (2) jede einzelne
Änderung vorher benennen und von der Eigentümerin oder dem Eigentümer einzeln bestätigen
lassen, (3) lieber deaktivieren oder in Quarantäne verschieben als löschen, (4) jede
Änderung samt Vorher-/Nachher-Zustand in incident-notes eintragen.