Mission 12 · Übe die Reaktion
Der Bot ist kompromittiert
Bringe die Reaktion in eine sichere Reihenfolge.
Du hast Beweise dafür, dass Rezas Bot-Instanz übernommen wurde. Die echten Zugangsdaten blieben im getrennten Proxy, aber der beschreibbare Speicher des Bots könnte vergiftet sein.
Incident-Koordinator
“Hör auf, mit der kompromittierten Kopie zu chatten. Was kommt zuerst, und was danach?”
Die Entscheidung
Tippe diese Schritte in der sichersten Reihenfolge an.
- Untersuchen, die Ersatz-Tokens rotieren und von einem sauberen Punkt aus neu aufbauen
Vertraue weder dem Speicher noch den Einstellungen des kompromittierten Bots. - Führe vor der erneuten Zugangsweitergabe alle Verifizierungsprüfungen durch
Aktualisiere danach die sauberen Sicherungskopien und die Integritätsaufzeichnungen. - Isolier den Bot und seine Sandbox; schließe seinen Proxy-Ausgang
Stoppe die laufende Aktivität, bevor du aufräumst. - Bewahre Beweise auf
Speichere die Vorfalls-Sicherungskopien und die relevanten Protokolle vor dem Neuaufbau.
Erklärung zeigen
Eindämmen → Bewahren → Untersuchen und neu aufbauen → Testen. Du hast nicht versucht, einen laufenden, kompromittierten Bot „aufzuräumen“ und auf das Beste zu hoffen.
Baue von einem sauberen Punkt aus wieder auf und rotiere, was exponiert wurde. Wenn Infrastruktur oder Host kompromittiert sind, ist die Reaktion viel umfassender.- Bei der Kompromittierung einer einzelnen Hermes-Instanz rotiert die Anleitung die Ersatz-Tokens dieses Freundes, weil die echten Zugangsdaten dort nicht gespeichert waren.
- Eine kompromittierte Infrastruktur kann echte Bot-Tokens, API-Keys und die CA offenlegen: Auch diese müssen ersetzt werden.
- Ist der Host selbst kompromittiert, baue den gesamten Server neu auf. Auf die darunterliegenden Schichten kannst du dich nicht mehr verlassen.
Eindämmung eines Vorfalls
Die laufende schädliche Aktivität stoppen und den Zugang einschränken – alles vor dem Untersuchen und Neuaufbau.