Arcana
IR-documentatie · Nederlandse vertaling
English
Overzicht
Over playbooks
Over runbooks
Playbooks
19
PB-001: Phishing & Credential Theft
PB-002: Ransomware Incident Response
PB-003: Endpoint-malware-infectie
PB-004: Account Takeover
PB-005: Data-exfiltratie
PB-006-insider-threat
PB-007: Cloud Compromise
PB-008: Aanval op een webapplicatie
PB-009: Privilege Escalation
PB-010: Lateral Movement
PB-011: Verdachte uitvoering
PB-012: Compromittering van een derde partij
PB-013: Distributed Denial of Service (DDoS)
PB-014: Verloren & gestolen apparaat
PB-015: Actieve exploitatie
PB-016: Business Email Compromise
PB-017: Vulnerability Response
PB-018: Zero-Day Response
PB-019: Management van een major security incident
Runbooks · Triage
12
RB-TRIAGE-001: E-mailtriage & headeranalyse
RB-TRIAGE-002: Triage van EDR-alerts
RB-TRIAGE-003: Triage van identity-alerts
RB-TRIAGE-004: Validatie van een melding van een derde partij
RB-TRIAGE-005: Validatie van een DDoS-alert
RB-TRIAGE-006: Validatie van een verloren of gestolen apparaat
RB-TRIAGE-007: Validatie van actieve exploitatie
RB-TRIAGE-008: Validatie van business email compromise
RB-TRIAGE-009: Validatie van een kwetsbaarheid
RB-TRIAGE-010: Triage van vermoedelijk dataverlies
RB-TRIAGE-011: Triage van alerts van het cloudplatform
RB-TRIAGE-012: Triage van een aanval op een webapplicatie
Runbooks · Evidence
6
RB-EVIDENCE-001: Geheugenacquisitie
RB-EVIDENCE-002: Acquisitie van host-logs
RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
RB-EVIDENCE-004: Acquisitie van control plane-logs in de cloud
RB-EVIDENCE-005: Snapshot-acquisitie van cloud-workloads
RB-EVIDENCE-006: Acquisitie van webapplicatielogs
Runbooks · Analyse
44
RB-ANALYSIS-001: URL-analyse
RB-ANALYSIS-002: Phishing retro hunt
RB-ANALYSIS-003: Patient zero vaststellen
RB-ANALYSIS-004: Beoordeling van de omvang van ransomware-versleuteling
RB-ANALYSIS-005: TTP-mapping van de threat actor
RB-ANALYSIS-006: Analyse van de procesboom
RB-ANALYSIS-007: Analyse van authenticatielogs
RB-ANALYSIS-008: Review van OAuth- en applicatie-consent
RB-ANALYSIS-009: Beoordeling van geprivilegieerde toegang
RB-ANALYSIS-010: Onderzoek naar blootgestelde credentials
RB-ANALYSIS-011: Aanvullende gecompromitteerde accounts vaststellen
RB-ANALYSIS-012: Validatie van interactie met phishing
RB-ANALYSIS-013: Analyse van de ransomware-payload
RB-ANALYSIS-014: Hunt op persistence-mechanismen van malware
RB-ANALYSIS-015: Malware-analyse
RB-ANALYSIS-016: Geheugenanalyse
RB-ANALYSIS-017: Beoordeling van back-upintegriteit en herstelbaarheid
RB-ANALYSIS-018: Analyse van uitgaand verkeer
RB-ANALYSIS-019: Onderzoek naar data staging
RB-ANALYSIS-020: Review van cloudopslag & SaaS
RB-ANALYSIS-021: Beoordeling van de impact op gevoelige data
RB-ANALYSIS-022: Scoping hunt naar exfiltratie
RB-ANALYSIS-023: Commandoregelanalyse
RB-ANALYSIS-024: Onderzoek naar misbruik van LOLBins
RB-ANALYSIS-025: Analyse van scriptuitvoering
RB-ANALYSIS-026: Validatie van gebruikersactiviteit
RB-ANALYSIS-027: Beoordeling van blootstelling bij een derde partij
RB-ANALYSIS-028: Analyse van de impact op de supply chain
RB-ANALYSIS-029: Analyse van DDoS-verkeer
RB-ANALYSIS-030: Beoordeling van de impact van DDoS op diensten
RB-ANALYSIS-031: DDoS-attributie & dreigingsbeoordeling
RB-ANALYSIS-032: Beoordeling van de security posture van een apparaat
RB-ANALYSIS-033: Beoordeling van blootstelling van data op een apparaat
RB-ANALYSIS-034: Analyse van exploitatieactiviteit
RB-ANALYSIS-035: Getroffen assets vaststellen
RB-ANALYSIS-036: Onderzoek naar een gecompromitteerde mailbox
RB-ANALYSIS-037: Analyse van mail forwarding & inbox rules
RB-ANALYSIS-038: Beoordeling van de impact van financiële fraude
RB-ANALYSIS-039: Beoordeling van blootstelling aan een kwetsbaarheid
RB-ANALYSIS-040: Kwetsbare assets vaststellen
RB-ANALYSIS-041: Verificatie van exploitatie
RB-ANALYSIS-042: Threat intelligence-beoordeling van een kwetsbaarheid
RB-ANALYSIS-043: Analyse van activiteit in de cloud control plane
RB-ANALYSIS-044: Analyse van een aanval op een webapplicatie
Runbooks · Containment
16
RB-CONTAIN-001: Account blokkeren
RB-CONTAIN-002: Snelle containment & netwerksegmentatie
RB-CONTAIN-003: Containment in Active Directory
RB-CONTAIN-004: Host-isolatie
RB-CONTAIN-005: Intrekken van sessies & tokens
RB-CONTAIN-006: MFA-reset & validatie
RB-CONTAIN-007: Blokkeren van uitgaande overdracht
RB-CONTAIN-008: Beperken van toegang van derden
RB-CONTAIN-009: Activeren van DDoS-mitigatie
RB-CONTAIN-010: Verkeersfiltering & rate limiting
RB-CONTAIN-011: Apparaat op afstand vergrendelen & wissen
RB-CONTAIN-012: Containment van het exploitatie-oppervlak
RB-CONTAIN-013: BEC-mailboxcontainment
RB-CONTAIN-014: Beperken van blootstelling aan een kwetsbaarheid
RB-CONTAIN-015: Isolatie van cloud-workloads
RB-CONTAIN-016: Beperken van toegang tot een webapplicatie
Runbooks · Eradication
1
RB-ERAD-001: E-mails verwijderen & blokkeren
Runbooks · Recovery
7
RB-RECOVERY-001: Coördinatie van recovery & herstel
RB-RECOVERY-002: Schone herinstallatie van systemen
RB-RECOVERY-003: Herstel van gebruikers & toegang
RB-RECOVERY-004: Mitigatie van blootstelling
RB-RECOVERY-005: Herstel van vertrouwen in een derde partij
RB-RECOVERY-006: Herstel van de beschikbaarheid van diensten
RB-RECOVERY-007: Validatie van het verhelpen van een kwetsbaarheid
Runbooks · Post-incident
4
RB-POST-001: Hardening na een ransomware-incident
RB-POST-002: Hardening tegen data-exfiltratie
RB-POST-003: Verbeteren van de DDoS-weerbaarheid
RB-POST-004: Security-hardening van webapplicaties
SOP's
7
SOP-001: On-call van een engineeringteam oproepen bij security-incidenten
SOP-002: Incidentoverdracht tussen regio's
SOP-003: Escalatie en communicatie met Legal en directie
SOP-004: Gebruikersnotificatie tijdens een security-incident
SOP-005: Communicatie met leveranciers tijdens een security-incident
SOP-006: Verificatie van medewerkers tijdens een security-incident
SOP-007: War room-management bij een major incident
Templates
5
Template Incident Response Plan (IRP)
KB-000-<Documentnaam>
PB-000-<Documentnaam>
RB-000-<Documentnaam>
SOP-000-<Documentnaam>