Seminar Ransomware Recovery Intensiv – Backup, Identitäten und Wiederanlauf

Das Intensivtraining richtet sich an erfahrene Administratoren und technische Wiederanlaufteams. Behandelt wird die gesamte Kette von der Auswahl einer geeigneten Sicherung über die Wiederherstellung grundlegender Identitätsfunktionen bis zur Abnahme einer Testanwendung. Der Schwerpunkt liegt auf Abhängigkeiten, nachvollziehbaren Kontrollen und der Vermeidung einer erneuten Übernahme während des Wiederanlaufs.

Ein vorbereitetes Labor mit kleiner Identitätsstruktur, getrennten Recovery-Netzen und passenden Sicherungen ermöglicht einen zusammenhängenden Fünf-Tage-Ablauf. Zeitaufwendige Bereitstellungen und ausgewählte Wartezustände werden durch dokumentierte Kontrollstände ergänzt. Diese Verdichtung ersetzt weder die vollständige Mehrdomänen-Forest-Recovery-Ausbildung noch alle Fehler- und Produktvarianten der drei Einzelseminare.

Schulungsziele

• Einen koordinierten Wiederanlaufauftrag mit geschäftlichen Prioritäten und technischen Abhängigkeiten erstellen.
• Sicherungen, Schlüssel und Verwaltungszugänge auf ihre Verwendbarkeit im Vorfall prüfen.
• Eine vorbereitete Identitäts- und Dienststruktur in einem kontrollierten Recovery-Bereich wiederherstellen.
• Freigabe und Wiederanbindung anhand von Funktion, Integrität, Berechtigungen und Beobachtungsplan begründen.

Zielgruppe

Erfahrene Windows-, Backup-, Virtualisierungs- und Systemadministratoren sowie technische Disaster-Recovery-Teams.

Voraussetzungen

Sichere Administration von Windows Server, Active Directory, DNS, virtuellen Maschinen und Sicherungen. Grundkenntnisse in Linux und Netzsegmentierung; Incident-Response-Grundlagen werden vorausgesetzt.

Seminarinhalte

Die folgenden Themen bilden den fachlichen Aufbau der Schulung.

• Wiederanlaufauftrag und Sicherheitslage
• Sicherungsarchitektur und Restore-Fähigkeit
• Recovery-Bereich und Verwaltungszugänge
• Begrenzte Identitätswiederherstellung
• Geschäftsdienste und Daten wiederherstellen
• Technische und fachliche Abnahme
• Integrierte Wiederherstellungsübung
• Betriebsübergabe und Verbesserungsaufträge

1. Wiederanlaufauftrag und Sicherheitslage

• Den betroffenen Vertrauensbereich und die geschäftlichen Wiederanlaufprioritäten im Gesamtfall erfassen.
• Untersuchungsbefunde, Sicherungszeitpunkte und noch offene Zugangswege gemeinsam bewerten.
• Aufgaben, Freigaben und Abbruchkriterien für das Recovery-Team festlegen.

2. Sicherungsarchitektur und Restore-Fähigkeit

• Getrennte Backup-Zugänge, Aufbewahrung und unabhängige Kopien des Laboraufbaus prüfen.
• Kataloge, Installationsmittel und Schlüssel als notwendige Bestandteile der Wiederherstellung verifizieren.
• Sicherungsbestände technisch prüfen und einen begründeten Wiederherstellungspunkt auswählen.

3. Recovery-Bereich und Verwaltungszugänge

• Saubere Administrationssysteme, kontrollierte Netze und erforderliche Grunddienste bereitstellen.
• Isolationsgrenzen und erlaubte Verbindungen tatsächlich prüfen.
• Hypervisor, Backup-Verwaltung und Identitätsdienste mit getrennten Zugriffsrechten in den Ablauf integrieren.

4. Begrenzte Identitätswiederherstellung

• Eine vorbereitete kleine AD-Laborstruktur aus einer geeigneten Sicherung wiederherstellen.
• DNS, SYSVOL, Replikation und ausgewählte Dienstanmeldungen mit dokumentierten Sollwerten prüfen.
• Privilegierte Zugänge, Dienstkonten, Zertifikate und KRBTGT-Maßnahmen mit notwendigen Abhängigkeiten und Wartezeiten planen.

5. Geschäftsdienste und Daten wiederherstellen

• Virtuelle Instanzen, Datenhaltung und eine Testanwendung in der benötigten Reihenfolge bereitstellen.
• Geprüfte Konfigurationen und Daten übernehmen und betroffene Geheimnisse koordiniert erneuern.
• Eine vorbereitete Fehlerlage zu Berechtigung, Dienstabhängigkeit oder Datenstand systematisch bearbeiten.

6. Technische und fachliche Abnahme

• Funktion, Datenkonsistenz, Zugriffsrechte und Protokollierung anhand eines gemeinsamen Prüfplans kontrollieren.
• Wiederanlaufzeiten und verbleibende Einschränkungen gegen die vereinbarten Ziele bewerten.
• Wiederanbindung, Beobachtung und Rückfall mit klaren Freigaben planen.

7. Integrierte Wiederherstellungsübung

• Den Wiederanlauf des begrenzten Dienstverbunds unter veränderten Rahmenbedingungen durchführen.
• Eine ungeeignete Sicherung oder fehlende Identitätsabhängigkeit anhand von Prüfergebnissen erkennen.
• Die Maßnahmenfolge anpassen und den Dienst erst nach dokumentierter Prüfung zur Freigabe vorlegen.

8. Betriebsübergabe und Verbesserungsaufträge

• Erreichten Datenstand, Funktionsumfang und verbleibende Risiken in einer Übergabe festhalten.
• Wiederholbare Restore-Tests und Überwachung für den Regelbetrieb definieren.
• Festgestellte Architektur- und Prozesslücken nach Wirkung auf den nächsten Wiederanlauf priorisieren.

Praktische Fallbearbeitung

1. Einen Wiederanlaufauftrag mit Dienstabhängigkeiten und verbindlichen Prüfrollen erstellen.
2. Sicherungen und Zugänge prüfen und einen kontrollierten Recovery-Bereich aufbauen.
3. Die vorbereitete Identitätsstruktur wiederherstellen und grundlegende Funktionskontrollen durchführen.
4. Eine ausgewählte Anwendung mit ihren Daten wiederherstellen, Störungen untersuchen und die Abnahme protokollieren.
5. Wiederanbindung und Beobachtungsphase planen und den tatsächlich erreichten Zustand an den Betrieb übergeben.

Schulungsumgebung

Vorkonfigurierte, isolierte Umgebung mit kleiner Active-Directory-Struktur, Virtualisierung, Proxmox-Backup-Labor und Testanwendung. GUI und PowerShell beziehungsweise Linux-Kommandozeile werden passend eingesetzt. Vorbereitete Kontrollstände unterstützen technisch notwendige Wartephasen, ohne ihre Bedeutung für reale Wiederherstellungen zu verkürzen.

Zusammengefasste Fachseminare

Die Kernthemen der folgenden Fachseminare werden in einem gemeinsamen Fall verdichtet. Die Einzelseminare bieten zusätzliche Übungszeit und eine größere fachliche Tiefe.

• Backup-Resilienz und Restore-Tests gegen Ransomware – 3 Tage
• Active Directory und Identitäten nach Ransomware wiederherstellen – 4 Tage
• Ransomware Recovery – Sicherer Wiederanlauf im Clean Room – 3 Tage

Passende Vertiefungen

Die weitere Auswahl richtet sich nach Aufgabenfeld und vorhandenen Kenntnissen.

• Active Directory und Identitäten nach Ransomware wiederherstellen – 4 Tage
• Backup-Resilienz und Restore-Tests gegen Ransomware – 3 Tage
• Ransomware Recovery – Sicherer Wiederanlauf im Clean Room – 3 Tage