Wat is Arcana
🌐 Interactieve webviewer: blader en zoek online door alle gepubliceerde playbooks op https://arcana.csirt.bj.
Arcana is een documentatiemethodiek die speciaal is ontwikkeld voor security incident response-teams. Het standaardiseert de kernbouwstenen van IR-documentatie - Incident Response Plans (IRP's), playbooks, runbooks, Standard Operating Procedures (SOP's) en Knowledge Base-artikelen (KB) - samen met een consistente naamgeving per documenttype. Arcana legt ook vast hoe deze documenten samenhangen: waar elk document voor dient en hoe ze naar elkaar verwijzen. Het resultaat is IR-documentatie die consistent is, makkelijk te onderhouden en makkelijk te doorzoeken.
Omdat elk team dat Arcana gebruikt dezelfde structuur volgt, kunnen playbooks, runbooks, SOP's en KB-artikelen als startpunt tussen organisaties worden gedeeld, zodat teams de responsflow niet vanaf nul hoeven te ontwerpen. Het doel is een sterkere IR-gemeenschap waarin teams voortbouwen op elkaars werk in plaats van dezelfde problemen elk afzonderlijk op te lossen.
Principes
Arcana rust op een klein aantal principes die voor elk document in het framework gelden. Ze bestaan zodat responders tijdens een incident kunnen vertrouwen op wat ze lezen en weten wie ze moeten vragen als iets niet klopt. De principes zijn ontleend aan docs-as-code, waarbij documentatie net als broncode een eigenaar heeft, wordt gereviewd, wordt geversioneerd en wordt uitgebracht.
- Owned (eigenaar) - elk document heeft een eigenaar die verantwoordelijk is voor het onderhoud en de juistheid ervan.
- Reviewed (gereviewd) - elk document heeft een of meer goedkeurders die het vóór publicatie reviewen, en het wordt volgens een vast ritme (met een volgende reviewdatum) opnieuw gereviewd om te bevestigen dat het nog klopt.
- Versioned (geversioneerd) - elk document heeft een versienummer en een wijzigingsoverzicht dat vastlegt wat er tussen versies is veranderd en waarom, zodat lezers kunnen nagaan hoe het document zich heeft ontwikkeld.
- Status-tracked (status bijgehouden) - elk document heeft een expliciete status (bijv. Draft, Published, Retired), zodat responders weten welke documenten veilig te gebruiken zijn en welke verouderd zijn.
Arcana in één oogopslag
Arcana deelt IR-documentatie in vijf componenten in:
Incident Response Plan
- Het overkoepelende document dat de algehele incident response-strategie, de levenscyclus en de rollen vastlegt.
- Playbooks erven deze structuur: elk playbook is opgebouwd rond dezelfde levenscyclus en rollen, maar toegepast op een specifiek type incident.
Playbooks:
- Scenariospecifieke responsgidsen voor een bepaald type incident (bijv. phishing, ransomware, supply chain) met vertakkende responspaden.
- Opgedeeld in aparte secties voor elke actieve responsfase uit het IRP (bijv. detectie, analyse, containment, eradication, recovery en post-incident response).
- Elke sectie verwijst naar de runbooks, SOP's en KB-artikelen die nodig zijn om die fase uit te voeren.
Runbooks:
- Technische stap-voor-stap-handleidingen voor het uitvoeren van één operationele taak tijdens een incident (bijv. een cloudhost isoleren, de credentials van een gecompromitteerde gebruiker resetten).
- Bij voorkeur tien stappen of minder.
- Kunnen naar SOP's en KB-artikelen verwijzen als een stap een proces tussen teams of diepere technische context vraagt.
Standard Operating Procedures (SOP's):
- Documenten die een team- of organisatieproces standaardiseren (bijv. on-call engineers oproepen bij een security-incident, klanten informeren bij een bevestigd datalek).
- Voldoen aan de eisen, zijn afgestemd met alle betrokken teams en zijn achteraf auditeerbaar.
- Kunnen naar KB-artikelen verwijzen als een stap diepere technische context of achtergrondkennis vraagt.
Knowledge Base-artikelen:
- Dienen als technische naslag om kennis te delen (bijv. een Linux Forensics-cheatsheet, Volatility gebruiken voor geheugenforensisch onderzoek en -analyse, handmatige AWS-snapshotverwerving).
- Worden vanuit runbooks, playbooks en SOP's aangehaald als een stap diepere technische context nodig heeft om uit te voeren.
Documenttypen vergeleken
| Aspect | IRP | Playbook | Runbook | SOP | KB-artikel |
|---|---|---|---|---|---|
| Doel | De algehele responsstrategie, levenscyclus en rollen vastleggen | Een specifiek type incident onderzoeken en oplossen | Een specifieke operationele taak uitvoeren | Een team- of organisatieproces standaardiseren | Kennis van de organisatie vastleggen en delen |
| Structuur | Raamwerk op hoofdlijnen: fasen van de levenscyclus, rollen | Vertakkende stappen op basis van beslissingen | Lineaire stappen | Formeel, gedetailleerd, behandelt rollen en compliance | Verhalend/verklarend, gericht op een onderwerp |
| Reikwijdte | Organisatiebreed, strategisch | Scenariospecifiek (bijv. phishing, ransomware) | Technisch, één taak | Teamoverstijgende, terugkerende processen | Elk onderwerp dat relevant is voor IR |
| Flexibiliteit | Laag (fundamenteel, verandert zelden) | Hoog (past zich aan aan onderzoeksuitkomsten) | Laag (voorschrijvend) | Laag (dekt alle scenario's, minder aanpasbaar) | Hoog (wisselende vormen en diepgang) |
| Doelgroep | De hele organisatie, leiding, alle incident responders | Incident responders | Elke technische responder, ongeacht rol | Alle teams die bij het proces betrokken zijn | Alle IR-medewerkers, breder securityteam |
Naamgeving van documenten
Alle documenten in het Arcana-framework volgen een consistente naamgeving, zodat ze makkelijk te herkennen, aan te halen en te doorzoeken zijn. Het standaardformaat bestaat uit een documentprefix, een met nullen aangevuld nummer en een korte omschrijving. Runbooks hebben daarnaast een categorieprefix die aangeeft welke responsfase ze ondersteunen.
<PREFIX>geeft het documenttype of de runbookcategorie aan###is een met nullen aangevuld volgnummer<Descriptor>is een korte, leesbare titel die het document beschrijft
| Documenttype | Formaat | Omschrijving | Voorbeeld |
|---|---|---|---|
| Incident Response Plan | Incident Response Plan |
n.v.t. | Incident Response Plan |
| Playbook | PB-###: <Descriptor> |
Incidentscenario | PB-001: Phishing |
| Runbook | RB-<CATEGORY>-###: <Descriptor> |
Operationele taak binnen een responsfase | RB-CONTAIN-004: Host Isolation |
| Standard Operating Procedure (SOP) | SOP-###: <Descriptor> |
Proces dat wordt gestandaardiseerd | SOP-001: Paging On-Call Engineers |
| Knowledge Base-artikel | KB-###: <Descriptor> |
Onderwerp van het artikel | KB-001: Volatility for memory forensics |
Runbooks gebruiken een categorieprefix die aangeeft welke responsfase ze ondersteunen. De huidige runbookcategorieën zijn:
| Categorieprefix | Responsfase | Voorbeeld |
|---|---|---|
RB-TRIAGE |
Eerste validatie en triage | RB-TRIAGE-001: Email Triage & Header Analysis |
RB-EVIDENCE |
Verwerven en veiligstellen van bewijs | RB-EVIDENCE-002: Host-Based Log Acquisition |
RB-ANALYSIS |
Onderzoek en analyse | RB-ANALYSIS-034: Exploitation Activity Analysis |
RB-CONTAIN |
Containment-acties | RB-CONTAIN-004: Host Isolation |
RB-ERAD |
Eradication en verwijdering | RB-ERAD-001: Email Removal & Blocking |
RB-RECOVERY |
Recovery en herstel | RB-RECOVERY-003: User Recovery & Access Restoration |
RB-POST |
Verbetering na het incident | RB-POST-003: DDoS Resilience Improvement |
Gebruik voor bestandsnamen na de categorie en het nummer een beschrijvende slug in kleine letters, bijvoorbeeld RB-CONTAIN-004-host-isolation.md.
Arcana invoeren
Arcana kan worden ingevoerd in elke tool die eigenaarschap, review, versiebeheer en status ondersteunt. De twee gangbare patronen:
Git-based (docs-as-code):
- Markdown-bestanden in een Git-repository (bijv. GitHub, GitLab, Bitbucket), gekoppeld aan een ticketsysteem (bijv. Jira, Asana) om eigenaarschap, volgende reviewdatum en documentstatus bij te houden.
- De repository is zo ingericht dat goedkeuringen worden afgedwongen via verplichte reviewers op pull requests (via GitHub Rulesets, Bitbucket-branchrestricties of GitLab-goedkeuringsregels voor merge requests) en levert via commits een onveranderbare wijzigingsgeschiedenis.
- Hogere opstartkosten, maar de principes worden lastig te schenden. Het meest geschikt voor teams met veel engineers.
Page-based (Confluence, Notion, Google Docs, enz.)
- Documenten als pagina's in een gehoste documentatietool met ingebouwde wijzigingsgeschiedenis, waarbij de principes worden afgedwongen via een standaard Documentbeheer-tabel bovenaan elke pagina.
- Lagere opzetkosten, geen engineeringinvestering nodig, en werkt goed voor teams die al een gehost documentatieplatform gebruiken.
- Anders dan bij Git-based invoering moet hier iemand handmatig controleren of de Documentbeheer-tabel klopt.
Hoe de principes worden afgedwongen:
Elk Arcana-document moet de vier principes afdwingen. Het mechanisme verschilt per invoering:
| Principe | Git-based | Page-based |
|---|---|---|
| Owned | Eigenaarschap bijgehouden in een gekoppeld ticketsysteem (bijv. Jira, Asana) | Veld Eigenaar in de Documentbeheer-tabel |
| Reviewed | Verplichte reviewers op pull requests, ingericht via GitHub Rulesets, Bitbucket-branchrestricties of GitLab-goedkeuringsregels voor merge requests | Veld Goedkeuringen in de Documentbeheer-tabel |
| Versioned | Onveranderbare wijzigingsgeschiedenis via commits | Velden Versie en Wijzigingsoverzicht in de Documentbeheer-tabel; de eigen paginageschiedenis van het platform |
| Status-tracked | Documentstatus bijgehouden in een gekoppeld ticketsysteem | Veld Status in de Documentbeheer-tabel (bijv. Draft / Published / Retired) |
De Documentbeheer-tabel (page-based)
Bij page-based invoering is de Documentbeheer-tabel de bron van waarheid. Elk Arcana-document begint ermee en het is het belangrijkste middel om de principes af te dwingen.
| Kenmerk | Waarde |
|---|---|
| Documentnaam | bijv. Phishing-playbook |
| Versie | bijv. v1.2 |
| Eigenaar | Persoon of team dat verantwoordelijk is voor het document |
| Goedkeuringen | Persoon of personen die deze versie hebben gereviewd en goedgekeurd |
| Status | Draft / Published / Retired |
| Volgende reviewdatum | Datum waarop dit document opnieuw op juistheid moet worden gereviewd |
| Wijzigingsoverzicht | Korte beschrijving van wat er in deze versie is veranderd |
Templates en voorbeelden
Templates voor alle vijf documenttypen staan in /templates. Zie de mappen /playbooks, /runbooks, /sops of /kb voor voorbeelden.
Core team
Arcana wordt onderhouden en ontwikkeld door een core team dat zich richt op het verbeteren van incident response-documentatie, operationele weerbaarheid en documentation-as-code-werkwijzen.
- Vishal Thakur
- Jayden Vo
- Amit Giri
- Kashish Srivastava
- Pooja Somu
- Orfel Adonis Homevo
Bijdragen aan Arcana
Arcana is een framework van en voor de gemeenschap, en bijdragen van incident responders, SOC-analisten, DFIR-specialisten, threat hunters, detection engineers en securityteams uit de hele sector zijn welkom.
Je kunt bijdragen met:
- Playbooks (PB's)
- Runbooks (RB's)
- SOP's
- Templates
- Knowledge Base-artikelen (KB)
- Tutorials en how-to's
- Detectie- en responsworkflows
- Verbeteringen en correcties in de documentatie
Zo draag je bij
Wil je bijdragen, dan:
- Fork je de repository naar je eigen GitHub-account
- Maak of wijzig je de relevante documentatie/bestanden
- Commit je de wijzigingen
- Dien je een pull request (PR) in bij de hoofdrepository van Arcana
Een pull request (PR) is een GitHub-functie waarmee je wijzigingen in een repository ter review voorstelt voordat ze in het hoofdproject worden opgenomen. Na indienen reviewt het Arcana core team de bijdrage, geeft zo nodig feedback en voegt goedgekeurde wijzigingen samen in het framework.
Documentatietemplates
Gebruik bij het maken van nieuwe Arcana-documentatie waar mogelijk de templates in de map templates/ van de repository. Dat helpt de consistentie, structuur, naamgeving en uitwisselbaarheid binnen het framework te bewaken.
Je kunt de templates ook rechtstreeks aan AI-tools/-assistenten (zoals ChatGPT, Claude, Gemini, Copilot, enz.) geven bij het genereren van nieuwe documentatie, zodat de uitvoer aansluit op het formaat en de standaarden van Arcana.
Formaat voor naamsvermelding
Bijdragers worden aangemoedigd om onderaan nieuwe documenten een naamsvermelding toe te voegen in dit formaat:
## Contributor
**Firstname Lastname**
GitHub: https://github.com/account
Contributed to the Arcana Incident Response Documentation Framework.
Goedgekeurde bijdragers worden ook vermeld op de Contributors-pagina van Arcana, zowel in de GitHub-repository als op de officiële website.
Licentie
Verspreid onder de MIT-licentie. Zie LICENSE voor details.
Noot bij de vertaling: het bestand LICENSE in de repository bevat feitelijk de Apache License 2.0, niet de MIT-licentie.