PB-002: Ransomware Incident Response

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	PB-002: Ransomware Incident Response	[Datum invullen]
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Doel & scope

Doel:

Dit playbook beschrijft het volledige responsproces bij ransomware-incidenten, waaronder containment, scoping, eradication, recovery en hardening na het incident.
Scope:

Van toepassing op alle ransomware-gerelateerde incidenten binnen de organisatie, waaronder:
- Ransomware op endpoints
- Versleuteling van servers
- Ransomware op hypervisors / ESXi
- Double extortion-incidenten
- Grootschalige versleuteling binnen de hele organisatie

2. Incidentidentificatie & criteria

Type incident: Ransomware

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

Een ransom note is gedetecteerd
Plotselinge wijzigingen van bestandsextensies waargenomen
Een EDR-alert voor ransomware gaat af
Meerdere systemen tegelijk versleuteld
Activiteit waarbij back-ups worden verwijderd gedetecteerd
Versleuteling van ESXi of een hypervisor vastgesteld
Massaal hernoemen of schrijven van bestanden gedetecteerd

Severity-niveaus:

Severity	Omschrijving
Sev 3	Vermoedelijke ransomware-activiteit op één endpoint, nog niet bevestigd
Sev 2	Bevestigde ransomware op één geïsoleerd systeem zonder waargenomen verspreiding
Sev 1	Bevestigde ransomware die meerdere systemen of een bedrijfskritische dienst raakt
Sev 0	Verspreiding door de hele organisatie, compromittering van hypervisor of back-ups, of impact op kritieke infrastructuur

3. Rollen & verantwoordelijkheden

Incident Commander: Coördineert en leidt de respons op het ransomware-incident; stuurt besluiten en tijdlijnen; zorgt dat containment, communicatie en herstelacties worden uitgevoerd.
Communications Lead: Verzorgt interne en externe communicatie, updates aan de directie, notificaties aan klanten en toezichthouders, en berichten aan stakeholders.
Incident responder / Forensic Analyst: Doet forensisch onderzoek op getroffen hosts en analyseert de ransomware-payload, stelt patient zero vast, brengt de tijdlijn van de aanval in kaart en stelt bewijsmateriaal veilig.
Overige rollen:
- Identity & Access-team: Ondersteunt bij containment in Active Directory, review van geprivilegieerde accounts, het intrekken van sessies en het resetten van credentials.
- Netwerk-/infrastructuurteam: Voert netwerksegmentatie en host-isolatie uit en beschermt kritieke infrastructuur.
- Back-up- & recoveryteam: Valideert de integriteit van back-ups, isoleert de back-upinfrastructuur en coördineert het herstel.
- Legal & Compliance: Beoordeelt verplichtingen uit regelgeving, meldplichten bij datalekken en overwegingen rond het betalen van losgeld.
- Directie / crisismanagement: Keurt grote bedrijfsbesluiten goed, geeft toestemming voor externe communicatie en stemt waar nodig af met politie en justitie.

4. Eerste acties

Directe stappen:
- Voer snelle containment & segmentatie uit: isoleer getroffen systemen en sluit routes voor lateral movement af (beperk SMB en protocollen voor beheer op afstand)
  - 📘 RB-CONTAIN-002: Snelle containment & netwerksegmentatie
- Informeer de leiding van Incident Response en wijs de rollen toe
- Stel vluchtig bewijsmateriaal veilig waar mogelijk (vermijd extra afsluiten of herstarten van systemen tenzij nodig)
  - 📘 RB-EVIDENCE-001: Geheugenacquisitie
- Stel vast welke kritieke bedrijfssystemen geraakt zijn
- Bevries niet-essentiële beheerwijzigingen
Beslispunt:
- Gaat de verspreiding van de ransomware door → vergroot de scope van de containment en escaleer naar crisisrespons / management van een major incident (PB-019: Management van een major security incident).

5. Onderzoek & analyse

Verzamelen van bewijsmateriaal:
- Voor elke nieuw vastgestelde geïnfecteerde host:
  - verzamel de volgende host-telemetrie over het incidentvenster:
    - Procesuitvoering: let vooral op versleutelingsbinaries, het verwijderen van back-ups of shadow copies en onverwacht gebruik van beheer- of archiefprogramma's (bijv. tar, zip, WinRar)
    - Bestandssysteemgebeurtenissen: massaal schrijven of hernoemen, aanmaken van ransom notes, verwijderen van back-ups of shadow copies
    - Activiteit van scripts en interpreters: gecodeerde of versluierde PowerShell, bash, zsh, python; LOLBins
    - Authenticatie / aanmelding: lateral movement via RDP, SSH, SMB
    - Persistence: scheduled tasks, cron, services/daemons, launch agents, autoruns
    - 📘 RB-EVIDENCE-002: Acquisitie van host-logs
  - maak een volledige geheugensnapshot om vluchtige artefacten veilig te stellen vóór een herstart, herinstallatie of afsluiting
    - 📘 RB-EVIDENCE-001: Geheugenacquisitie
Analysestappen:
- Stel patient zero, de initiële toegangsvector, het verspreidingspad en de dwell time vast
  - 📘 RB-ANALYSIS-003: Patient zero vaststellen
Beslispunt: Voer voor elke vastgestelde initiële toegangsvector de fasen na detectie (analyse → recovery) van het betreffende playbook gelijktijdig met dit playbook uit:
- Phishing → PB-001: Phishing & Credential Theft
- Account takeover → PB-004: Account Takeover
- Misbruik van een zero-day → PB-018: Zero-Day Response
- Misbruik van een bekende of gepatchte kwetsbaarheid → PB-017: Vulnerability Response
- Beoordeel de omvang van de versleuteling, de getroffen systemen, versleutelde fileshares, de bedrijfsimpact en de blootstelling van back-ups
  - 📘 RB-ANALYSIS-004: Beoordeling van de omvang van ransomware-versleuteling
Beslispunt:
- Compromittering van back-ups vastgesteld → direct escaleren naar de directie.
- Analyseer de ransomware-payload en het gedrag ervan (familie, versleutelingsgedrag, persistence, mogelijkheden, exfiltratie)
  - 📘 RB-ANALYSIS-013: Analyse van de ransomware-payload
Beslispunt:
- Data-exfiltratie vastgesteld → voer de fasen na detectie (analyse → recovery) van PB-005: Data-exfiltratie uit.
- Breng de TTP's van de threat actor in kaart, vergelijk ze met bekende ransomwaregroepen en werk detecties en threat intelligence bij
  - 📘 RB-ANALYSIS-005: TTP-mapping van de threat actor
  - Documenteer bevindingen, de tijdlijn van de compromittering en de indicators of compromise (IOC's)

6. Containment, eradication & recovery

Waarschuwing: Begin NIET met grootschalig herstel voordat:

De containment is geverifieerd

De persistence-mechanismen zijn vastgesteld

De geprivilegieerde toegang is beoordeeld

De verspreidingspaden duidelijk zijn

De integriteit van de back-ups is gevalideerd

Voortijdig herstel kan leiden tot herinfectie of opnieuw versleutelen.

Containment-acties:
- Containment op korte termijn (direct):
  - Isoleer getroffen hosts en segmenteer getroffen netwerken. Beperk SMB en protocollen voor beheer op afstand, voorkom verdere verspreiding en bescherm kritieke infrastructuur
    - 📘 RB-CONTAIN-002: Snelle containment & netwerksegmentatie
- Containment op lange termijn (identity & directory):
  - Beoordeel de activiteit van geprivilegieerde accounts, schakel gecompromitteerde accounts uit en bescherm de identity-infrastructuur
    - 📘 RB-CONTAIN-003: Containment in Active Directory
    - 📘 RB-CONTAIN-005: Intrekken van sessies & tokens
  Beslispunt:
  - Compromittering van een Domain Admin bevestigd → direct escaleren voor de hele organisatie.
Eradication- en recovery-stappen:
- Valideer de integriteit en isolatie van back-ups, de integriteit van immutable opslag en de herstelbaarheid
  - 📘 RB-ANALYSIS-017: Beoordeling van back-upintegriteit en herstelbaarheid
Beslispunt:
- Back-ups niet beschikbaar of gecompromitteerd → verhoog direct de severity.
- Stel prioriteiten en coördineer een gefaseerd herstel van systemen
  - 📘 RB-RECOVERY-001: Coördinatie van recovery & herstel - voor volgorde, prioritering en coördinatie tussen teams
- Bouw getroffen hosts opnieuw op vanuit bekende, betrouwbare images en valideer ze voordat ze weer worden aangesloten
  - 📘 RB-RECOVERY-002: Schone herinstallatie van systemen - voor herinstallatie, hardening en validatie per host
- Herstel de toegang van gebruikers gecontroleerd
  - 📘 RB-RECOVERY-003: Herstel van gebruikers & toegang
- Monitor op herinfectie en breng systemen geleidelijk terug in gebruik
Beslispunt:
- Herinfectie waargenomen → stop het herstel direct en ga terug naar containment.

7. Communicatie & escalatie

Interne communicatie:
- Informeer de directie en de getroffen bedrijfsonderdelen
- Geef regelmatig updates aan de leiding en de getroffen teams
- Stuur een waarschuwing aan de hele organisatie als de verspreiding breed is of kritieke diensten geraakt zijn
Externe communicatie:
- Schakel Legal/Privacy in om verplichtingen uit regelgeving en meldplichten bij datalekken te beoordelen
- Informeer klanten, toezichthouders, partners, de cyberverzekeraar en politie en justitie (indien nodig) volgens de aanwijzingen van Legal
- Stem alle externe berichten af met de Communications Lead en Legal
  - 📘 SOP-003: Escalatie en communicatie met Legal en directie
  - 📘 SOP-004: Gebruikersnotificatie tijdens een security-incident
Escalatiecriteria:

Situatie	Escaleren naar
Phishing vastgesteld als initiële toegangsvector	PB-001: Phishing & Credential Theft
Account takeover vastgesteld als initiële toegangsvector	PB-004: Account Takeover
Zero-day-kwetsbaarheid misbruikt als initiële toegangsvector	PB-018: Zero-Day Response
Bekende of gepatchte kwetsbaarheid misbruikt als initiële toegangsvector	PB-017: Vulnerability Response
Data-exfiltratie bevestigd	PB-005: Data-exfiltratie
Verspreiding door de hele organisatie, compromittering van hypervisor of back-ups	PB-019: Management van een major security incident / escalatie naar de directie

8. Post-incidentactiviteiten

Lessons learned:
- Plan en houd een post-incidentreview (PIR)
- Documenteer wat goed ging en wat beter moet
- Beoordeel falende maatregelen (detectie, segmentatie, geprivilegieerde toegang, bescherming van back-ups)
- Stel hiaten in de detectie vast en dicht ze
Documentatie bijwerken:
- Werk dit playbook, de gekoppelde runbooks en KB-artikelen bij met de lessons learned
- Werk detecties en threat intelligence bij op basis van de waargenomen TTP's
- Versterk de segmentatie, de geprivilegieerde toegang en de bescherming van back-ups
  - 📘 RB-POST-001: Hardening na een ransomware-incident

9. Referenties & gekoppelde bronnen

Playbooks:
Runbooks:
SOP's:
- SOP-003: Escalatie en communicatie met Legal en directie
- SOP-004: Gebruikersnotificatie tijdens een security-incident
KB-artikelen:
- Link naar KB-artikelen specifiek over ransomware (bijv. beschrijvingen van bekende ransomwarefamilies, verwijzingen naar decryptors, PIR's)

10. Bijlagen

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.