Du bist sicher, dass das Laptop einer Führungskraft kompromittiert ist, und die Person sitzt mitten in einer Vorstandssitzung. Was machst du?

Pass die Eindämmung an die Beweislage an und eskalier die Business-Entscheidung, statt sie allein zu treffen. Wenn es Anzeichen für aktive Hands-on-Keyboard-Aktivität, Credential-Diebstahl oder Staging gibt, isolier jetzt und informier den Incident Commander, denn eine kurze Unterbrechung kostet weniger als eine domainweite Kompromittierung. Wenn die Aktivität ruhend wirkt, wend Teil-Eindämmung an (Command and Control blocken, Sessions widerrufen, Credential-Reset erzwingen) und plan die vollständige Isolation ein.

Meine Schwelle ist ein Beleg für aktive Operator-Aktivität oder Credential Access. Wenn ich interaktive Kommandoausführung, Credential Dumping oder gestagte Daten sehe, isoliere ich jetzt und entschuldige mich später, denn die Lücke zwischen einem kompromittierten Laptop und einer kompromittierten Domain kann zehn Minuten sein. Ich würde es aber nicht still wegreißen. Ich rufe den Incident Commander an, gebe die Beweislage in einem Satz und meine Empfehlung, und lasse ihn die Business-Entscheidung treffen, während ich die Aktion so vorbereite, dass sie in der Sekunde losgeht, in der er Ja sagt. Wenn es ruhend aussieht, etwa ein Beacon, der sich seit Stunden nicht gemeldet hat, nehme ich den Mittelweg: die Command-and-Control-Domain sinkholen, Konto-Sessions und Refresh Tokens widerrufen, den Prozess-Hash blocken und volle Telemetrie auf dem Host behalten, damit ich zusehen kann. Dann isoliere ich, wenn die Sitzung endet. Für das Gespräch selbst gehe ich über das Vorzimmer, mit einem kurzen sachlichen Satz ohne Jargon, denn eine panische Führungskraft in einer Vorstandssitzung hilft niemandem.