Du entdeckst, dass ein vor drei Wochen geschlossener Alert tatsächlich ein echter Einbruch war. Was jetzt?

Eskalier sofort und geh davon aus, dass der Angreifer drei Wochen hatte, kläre den Umfang also breit, bevor du eindämmst. Öffne den Fall neu, bau die Zeitleiste aus der vorgehaltenen Telemetrie nach, und jage die Folgeaktivität, die du erwarten würdest: Persistence, Credential-Diebstahl, laterale Bewegung und Exfiltration. Damm auf Basis der aktuellen Befunde ein, nicht des ursprünglichen Alerts, in einer koordinierten Aktion. Danach fährst du eine schuldfreie Nachbetrachtung, warum die ursprüngliche Entscheidung richtig aussah.

Ich sage es meiner Führungskraft sofort, bevor ich das vollständige Bild habe, denn drei Wochen Verweildauer sind ein Incident, und die schlimmste Variante davon ist ein Analyst, der still allein ermittelt, um das Gesicht zu wahren. Dann widerstehe ich dem Drang, den ursprünglichen Host sofort zu isolieren, denn nach drei Wochen ist dieser Host wahrscheinlich nicht der einzige, und frühes Eindämmen warnt den Angreifer. Also erst der Umfang: die Zeitleiste aus der Retention nachbauen, die ich noch habe, dann vorwärts jagen, was hätte folgen müssen, also Persistence-Mechanismen, neue Service-Konten, Credential Access, neue Authentifizierungskanten zwischen Konto und Host und Anomalien im ausgehenden Volumen. Sobald ich den Fußabdruck kenne, dämme ich in einer koordinierten Aktion ein statt Host für Host. Danach will ich, dass die Nachbetrachtung um den Prozess geht, nicht um die Person. Als wir das in einem früheren Job gemacht haben, war der ehrliche Befund, dass der Analyst auf diesem Host kein Command Line Logging hatte, die Entscheidung sah mit den verfügbaren Belegen also richtig aus. Der Fix waren Telemetrie plus eine Runbook-Regel zum Schließen bei fehlender Beweislage.