PB-005: Data-exfiltratie

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	PB-005: Data-exfiltratie	[Datum invullen]
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Doel & scope

Doel:

Dit playbook beschrijft het volledige responsproces bij vermoedelijke of bevestigde data-exfiltratie: ongeautoriseerde toegang tot, verzameling, staging, overdracht, diefstal of blootstelling van gegevens van de organisatie. Het is erop gericht de getroffen data vast te stellen, de omvang van de blootstelling te bepalen, actieve exfiltratie in te dammen, bewijsmateriaal veilig te stellen en de juridische, wettelijke en zakelijke respons te coördineren.
Scope:

Van toepassing op alle vermoedelijke of bevestigde data-exfiltratie binnen de organisatie, waaronder insider threats, compromittering van buitenaf, misbruik van cloud en SaaS, ongeautoriseerde bestandsoverdrachten, blootstelling van gevoelige data en verzamelactiviteit van threat actors.

2. Incidentidentificatie & criteria

Type incident: Data-exfiltratie

Triggercondities:

DLP-alert gegenereerd
Grote uitgaande overdracht gedetecteerd
Ongebruikelijke uploadactiviteit naar de cloud vastgesteld
Verdacht aanmaken van archieven gedetecteerd
Afwijkende toegang tot gevoelige bestanden waargenomen
Ongeautoriseerd delen via SaaS vastgesteld
Indicatoren van een insider threat waargenomen
Verzamelgedrag van een threat actor vastgesteld
Melding van een derde partij over blootgestelde data ontvangen

Severity-niveaus:

Severity	Omschrijving
Sev 3	Verdachte overdrachtsactiviteit zonder bevestigde blootstelling
Sev 2	Bevestigde exfiltratie van een beperkte hoeveelheid data
Sev 1	Bevestigde exfiltratie van gevoelige, vertrouwelijke of gereguleerde data
Sev 0	Grootschalige datadiefstal, openbare blootstelling of kritieke bedrijfsimpact

3. Rollen & verantwoordelijkheden

Incident Commander: Coördineert en leidt de incident response, keurt containment-acties goed en neemt escalatiebesluiten.
Incident responder / Forensic Analyst: Doet het forensisch onderzoek, bepaalt de omvang van de exfiltratie, stelt bewijsmateriaal veilig, reconstrueert de tijdlijn van de aanval en stelt de root cause vast.
Communications Lead: Coördineert interne en externe communicatie, updates aan de directie en notificaties aan stakeholders.
Overige rollen:
- Identity & Access-team (IAM): Blokkeert gecompromitteerde accounts, trekt sessies en tokens in en roteert credentials.
- Cloud Security-team: Onderzoekt en verhelpt exfiltratie via cloudopslag, SaaS en cloud-workloads.
- Data-eigenaren: Beoordelen de gevoeligheid van de data, de classificatie onder regelgeving en de bedrijfsimpact.
- Legal & Compliance: Beoordeelt verplichtingen uit regelgeving en meldplichten bij datalekken; is eigenaar van besluiten over externe notificatie.
- HR / People-team: Wordt ingeschakeld als insideractiviteit wordt vermoed of als contact met een gebruiker via een ander kanaal nodig is.

4. Eerste acties

Directe stappen:
- Voer triage uit op de oorspronkelijke alert of melding om te valideren dat het om echte exfiltratie gaat
  - 📘 RB-TRIAGE-010: Triage van vermoedelijk dataverlies
- Stel vast of de exfiltratie nu nog actief is (bijv. verkeer naar bekende C2 of een verdacht domein, uploads naar persoonlijke cloudopslag)
- Stel vast welk type en welke hoeveelheid data wordt geëxfiltreerd (namen/paden van gevoelige bestanden, grote omvang, veel bestanden)
- Stel vast welke account(s) en host(s) voor de exfiltratie worden gebruikt
Beslispunt:
- Actieve exfiltratie vastgesteld → ga direct door naar de containment-acties
- Alleen exfiltratie in het verleden → ga door met onderzoek & analyse

5. Onderzoek & analyse

Omvang van de exfiltratie bepalen:
- Beoordeel de patronen in het uitgaande verkeer
  - 📘 RB-ANALYSIS-018: Analyse van uitgaand verkeer
- Onderzoek activiteit rond data staging
  - 📘 RB-ANALYSIS-019: Onderzoek naar data staging
- Beoordeel de activiteit in cloudopslag en SaaS
  - 📘 RB-ANALYSIS-020: Review van cloudopslag & SaaS
- Stel de getroffen data en de bedrijfsimpact vast
  - 📘 RB-ANALYSIS-021: Beoordeling van de impact op gevoelige data
- Zoek naar aanvullende exfiltratie
  - 📘 RB-ANALYSIS-022: Scoping hunt naar exfiltratie
- Beoordeel de authenticatieactiviteit
  - 📘 RB-ANALYSIS-007: Analyse van authenticatielogs
- Stel aanvullende gecompromitteerde accounts vast
  - 📘 RB-ANALYSIS-011: Aanvullende gecompromitteerde accounts vaststellen
Beslispunt: Voer voor elke vastgestelde initiële toegangsvector de fasen na detectie (analyse → recovery) van het betreffende playbook gelijktijdig met dit playbook uit:
- Phishing → PB-001: Phishing & Credential Theft
- Account takeover → PB-004: Account Takeover
- Endpoint-malware → PB-003: Endpoint-malware-infectie
- Ransomwareactiviteit naast de exfiltratie waargenomen → PB-002: Ransomware Incident Response
- Actieve exploitatie → PB-015: Actieve exploitatie
- Misbruik van een zero-day → PB-018: Zero-Day Response

6. Containment, eradication & recovery

Containment-acties:
- Schakel gecompromitteerde accounts uit, trek actieve sessies in, reset credentials en dwing opnieuw registreren van MFA af
  - 📘 RB-CONTAIN-001: Account blokkeren
- Isoleer getroffen systemen
  - 📘 RB-CONTAIN-004: Host-isolatie
- Trek actieve tokens en sessies in
  - 📘 RB-CONTAIN-005: Intrekken van sessies & tokens
- Blokkeer actieve exfiltratiekanalen, beperk uitgaande communicatie en blokkeer vastgestelde bestemmingen
  - 📘 RB-CONTAIN-007: Blokkeren van uitgaande overdracht
Eradication-stappen:
- Verwijder de toegangsmechanismen van de aanvaller
- Verwijder kwaadaardige tooling die voor verzamelen of overdracht is gebruikt
- Verwijder ongeautoriseerde deelinstellingen in SaaS
- Verwijder ongeautoriseerde toegang tot cloudopslag
Recovery-stappen:
- Herstel de toegang van legitieme gebruikers
  - 📘 RB-RECOVERY-003: Herstel van gebruikers & toegang
- Valideer de correctieve acties
- Herstel de normale bedrijfsvoering
- Monitor op terugkerende activiteit

7. Communicatie & escalatie

Interne communicatie:
- Informeer de leiding en de getroffen bedrijfsonderdelen
- Geef regelmatig updates over het incident
- Schakel de data-eigenaren in voor de beoordeling van de impact
Externe communicatie:
- Schakel Legal en Compliance in als er gereguleerde data bij betrokken is
- Informeer klanten, toezichthouders of partners volgens de aanwijzingen van Legal
- Laat alle externe communicatie via goedgekeurde kanalen lopen

Escalatiecriteria:

Situatie	Escaleren naar
Phishing vastgesteld als initiële toegangsvector	PB-001: Phishing & Credential Theft
Account takeover vastgesteld als initiële toegangsvector	PB-004: Account Takeover
Endpoint-malware vastgesteld als initiële toegangsvector	PB-003: Endpoint-malware-infectie
Ransomwareactiviteit naast de exfiltratie waargenomen (double extortion)	PB-002: Ransomware Incident Response
Actieve exploitatie vastgesteld	PB-015: Actieve exploitatie
Misbruik van een zero-day vastgesteld	PB-018: Zero-Day Response
Insideractiviteit vastgesteld	PB-006: Insider Threat

8. Post-incidentactiviteiten

Lessons learned:
- Plan en houd een post-incidentreview (PIR)
- Documenteer de tijdlijn en de root cause
- Stel hiaten in detectie en respons vast
- Beoordeel de effectiviteit van de containment-acties
- Beoordeel de maatregelen voor data governance
Documentatie bijwerken:
- Werk dit playbook zo nodig bij
- Werk de bijbehorende runbooks bij
- Werk de detectie-inhoud en monitoringlogica bij
- Werk de procedures voor omgang met data en data governance bij

9. Referenties & gekoppelde bronnen

10. Bijlagen

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Jayden Vo
GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.