CompTIA CySA+ — Übungsfragen und Probeprüfung

Volatility-Plugins für die Malware-Erkennung in der Memory-Forensik: malfind (erkennt injizierten Code — PAGE_EXECUTE_READWRITE ohne Entsprechung auf der Festplatte), pstree/pslist (Analyse des Prozessbaums auf verdächtige Eltern-Kind-Beziehungen), netscan (Netzwerkverbindungen), handles (offene Handles), dlllist (geladene DLLs), cmdline (Kommandozeilen der Prozesse) und filescan (Dateiobjekte im Speicher). Das Plugin malfind zielt speziell auf Process Injection ab, indem es die Schutzflags des Speichers und die VAD-Tags (Virtual Address Descriptor) prüft. Legitimer Code benötigt nur selten die Berechtigung PAGE_EXECUTE_READWRITE.

Sicherheitskennzahlen für ein Führungspublikum müssen den technischen Security-Betrieb in geschäftsrelevante Aussagen über die Risikolage und die operative Wirksamkeit übersetzen. Kennzahlen wie MTTD und MTTR messen, wie schnell das Team Bedrohungen erkennt und darauf reagiert, die Anzahl der Vorfälle nach Schweregrad zeigt Trends in der Bedrohungslage, und die Patch-Compliance gegenüber den SLAs belegt proaktives Risikomanagement. Sie sind handlungsleitend, im Zeitverlauf vergleichbar und an geschäftliche Ergebnisse gekoppelt — anders als rein technische Kennzahlen wie Log-Volumina oder Signaturzahlen.

Ausgereifte Change-Management-Frameworks enthalten Verfahren für Notfall-Changes, wenn kritische Schwachstellen ein unmittelbares Risiko darstellen und der reguläre Genehmigungsweg zu langsam ist. Auch Notfall-Changes erfordern eine Genehmigung – meist durch eine benannte verantwortliche Stelle oder einen Teil des Change Boards – sowie Dokumentation, Risikobewertung und einen Rollback-Plan. Dieser Ansatz bringt Dringlichkeit und Governance in Einklang, statt Kontrollen komplett zu umgehen oder Systeme ungeschützt zu lassen.