PB-007: Cloud Compromise

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	PB-007: Cloud Compromise	[Datum invullen]
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Doel & scope

Doel:

De incident response-stappen beschrijven bij een compromittering van cloudinfrastructuur: analyse & triage, containment, eradication, recovery en post-incidentactiviteiten. Het doel is de aanvaller uit de cloudomgeving te verwijderen, vast te stellen welke cloudresources, data en identiteiten de aanvaller heeft bereikt, veilig gebruik te herstellen en de cloudomgeving te versterken tegen herhaling.
Scope:

Van toepassing op compromittering van cloudinfrastructuur bij elke cloudprovider (AWS, Azure, GCP, Oracle of andere), waaronder:
- Compromittering van cloud-workloads (VM's, containers, Kubernetes-pods, serverless functions)
- Misbruik van de cloud control plane (ongeautoriseerde API-activiteit, manipulatie van IAM of rollen, sabotage van securitydiensten)
- Compromittering van cloudopslag of databases (S3, Azure Blob, GCS, RDS, Cosmos DB, BigQuery)
- Cloud-native lateral movement (misbruik van IMDS, role chaining, toegang over accounts of tenants heen)
- Compromittering van infrastructure-as-code (IaC) of CI/CD-pipelines met gevolgen voor cloud-deployments
- Blootgestelde cloud-credentials, API-sleutels of instance-metadata
Buiten de scope (afgehandeld door eigen playbooks):
- Containment en recovery van identiteiten bij gecompromitteerde IAM-gebruikers, rollen, service accounts, workload identities, federated identities, tokens of access keys in de cloud → PB-004: Account Takeover
- Ga met dit playbook door voor de impact van die identiteit op de cloud control plane, workloads, opslag, netwerk, resources en securitydiensten.

2. Incidentidentificatie & criteria

Type incident: Cloud Compromise

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

Cloud-native security-alert (GuardDuty, Defender for Cloud, GCP Security Command Center, Oracle Cloud Guard of vergelijkbaar)
Ongeautoriseerde cloud-API-activiteit gedetecteerd (onbekende regio's, ongebruikelijke user-agents, onverwachte diensten)
Ongeautoriseerde IAM-activiteit (nieuwe rol, policy, gebruiker of access key aangemaakt of gewijzigd)
Afwijkend gedrag van een cloud-workload (onverwacht uitgaand verkeer, cryptomining, activiteit in een vreemde regio)
Een cloud-securitydienst uitgeschakeld of gemanipuleerd (logging gestopt, detecties uitgezet, bewaartermijn verkort)
Blootgestelde cloud-credential of access key aangetroffen (openbare repo, paste site, threat intelligence)
Openbare blootstelling van een cloudresource gedetecteerd (open storage bucket, blootgestelde database, blootgestelde beheerinterface)
Afwijkende activiteit van een workload identity of instance role in de cloud
Melding van een derde partij over gecompromitteerde cloudinfrastructuur

Severity-niveaus:

Severity	Omschrijving
Sev 3	Bevestigde compromittering van één cloud-workload buiten productie, geen impact op data of control plane
Sev 2	Bevestigde compromittering van een productie-workload in de cloud, of ongeautoriseerde activiteit in de cloud control plane met beperkte scope
Sev 1	Compromittering van een geprivilegieerde cloudrol, meerdere cloud-workloads, of cloudopslag met gevoelige data
Sev 0	Compromittering van een hele cloud-tenant of een heel cloudaccount, van cloud-beheerdersidentiteiten, of manipulatie van cloud-logging of security-infrastructuur

3. Rollen & verantwoordelijkheden

Incident Commander: Coördineert en leidt de respons; stuurt besluiten en tijdlijnen; zorgt dat containment, communicatie en herstelacties worden uitgevoerd.
Communications Lead: Verzorgt interne en externe communicatie, updates aan de directie, notificaties aan klanten en toezichthouders, en berichten aan stakeholders.
Incident responder / Forensic Analyst: Doet het forensisch onderzoek: analyseert activiteit in de cloud control plane, reconstrueert de acties van de aanvaller in de cloud, bepaalt de omvang van de compromittering, stelt bewijsmateriaal veilig en stelt de root cause vast.
Overige rollen:
- Cloud Security-/platformteam: Voert containment in de cloud uit, maakt snapshots, draait IAM-wijzigingen terug, past infrastructure-as-code aan en zet resources in quarantaine.
- Identity & Access-team (IAM): Blokkeert gecompromitteerde identiteiten en rollen, trekt sessies en access keys in en roteert credentials die cloud-workloads gebruiken.
- Netwerkteam: Voert egress-filtering in de cloud in, blokkeert uitgaande bestemmingen en past security groups / NSG's / firewallregels aan.
- Applicatie- / workload-eigenaren: Geven toestemming voor isolatie of vervanging van workloads; valideren herstelde diensten.
- DevOps / SRE / platform engineering: Bouwt workloads opnieuw op vanuit betrouwbare infrastructure-as-code; roteert pipeline-credentials.
- Legal & Compliance: Beoordeelt verplichtingen uit regelgeving en meldplichten bij datalekken; is eigenaar van besluiten over externe notificatie.
- Support / TAM van de cloudprovider: Wordt ingeschakeld voor onderzoek aan de kant van de provider, het ophalen van logs of ingrijpen op accountniveau.

4. Eerste acties

Directe stappen:
- Voer triage uit op de oorspronkelijke alert om te valideren dat het om een echte compromittering gaat
  - 📘 RB-TRIAGE-011: Triage van alerts van het cloudplatform - voor cloud-native security-alerts
  - 📘 RB-TRIAGE-002: Triage van EDR-alerts - als de alert van de EDR op een cloud-workload komt
  - 📘 RB-TRIAGE-003: Triage van identity-alerts - als de alert over een workload identity of rol gaat
- Stel vast welk cloudaccount, welke subscription, welk project of welke tenancy getroffen is
- Stel vast om welke cloudresources het precies gaat (workload-ID's, ARN's van rollen en policies, storage buckets, databases)
- Stel vast of de activiteit nu nog gaande is of in het verleden ligt
- Informeer de Incident Commander en het Cloud Security-/platformteam
Beslispunt:
- Aanvaller is nu actief → ga direct door naar containment
- Alleen activiteit in het verleden → ga door met onderzoek & analyse
Waarschuwing: Beëindig of verwijder cloud-workloads NIET voordat er snapshots zijn gemaakt: beëindigen vernietigt vluchtig bewijsmateriaal (geheugen, tijdelijke schijven, netwerkstatus).

5. Onderzoek & analyse

Verzamelen van bewijsmateriaal:
- Verzamel de logs van de cloud control plane over het incidentvenster
  - 📘 RB-EVIDENCE-004: Acquisitie van control plane-logs in de cloud
- Maak snapshots van getroffen cloud-workloads (instance-schijven, volumes, bestandssystemen van containers) vóór beëindiging of herinstallatie
  - 📘 RB-EVIDENCE-005: Snapshot-acquisitie van cloud-workloads
- Verzamel voor getroffen workloads de host-telemetrie over het incidentvenster
  - 📘 RB-EVIDENCE-002: Acquisitie van host-logs
- Verzamel voor getroffen cloud- en workload-identiteiten de identity- en authenticatietelemetrie
  - 📘 RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
Analysestappen:
- Reconstrueer de activiteit van de aanvaller in de cloud control plane (API-aanroepen, IAM-wijzigingen, aanmaken van resources, sabotage van securitydiensten) en stel de initiële toegangsvector vast
  - 📘 RB-ANALYSIS-043: Analyse van activiteit in de cloud control plane
- Analyseer de authenticatieactiviteit van de getroffen identiteiten en workload-rollen
  - 📘 RB-ANALYSIS-007: Analyse van authenticatielogs
- Beoordeel het gebruik van geprivilegieerde toegang en eventueel gebruikte paden voor privilege escalation
  - 📘 RB-ANALYSIS-009: Beoordeling van geprivilegieerde toegang
- Analyseer het uitgaande verkeer van getroffen workloads (C2, data-exfiltratie, cryptomining)
  - 📘 RB-ANALYSIS-018: Analyse van uitgaand verkeer
- Beoordeel toegang tot cloudopslag en SaaS op blootstelling van data
  - 📘 RB-ANALYSIS-020: Review van cloudopslag & SaaS
- Stel vast of er nog meer cloud- of workload-identiteiten gecompromitteerd zijn
Beslispunt: Voer, afhankelijk van wat is waargenomen, de fasen na detectie (analyse → recovery) van elk relevant verwant playbook gelijktijdig met dit playbook uit:
- Gecompromitteerd account van een gebruiker, service of bot → voer PB-004: Account Takeover uit voor de containment en recovery van de identiteit.
- Gecompromitteerde IAM-gebruiker, rol, service account, workload identity, token of access key in de cloud → voer PB-004: Account Takeover uit voor de containment van de identiteit en ga met dit playbook door voor de cloudactiviteit en de impact op de omgeving.
- Misbruik van een zero-day → PB-018: Zero-Day Response
- Malware geplaatst op een cloud-workload → PB-003: Endpoint-malware-infectie
- Ransomwareactiviteit waargenomen → PB-002: Ransomware Incident Response
- Data-exfiltratie bevestigd → PB-005: Data-exfiltratie

6. Containment, eradication & recovery

Containment-acties:
- Isoleer getroffen cloud-workloads (quarantaine-security group / NSG toepassen, instance pauzeren, loskoppelen van load balancers)
  - 📘 RB-CONTAIN-015: Isolatie van cloud-workloads
- Trek gecompromitteerde cloud-credentials, API-sleutels en sessies van instance roles in
  - 📘 RB-CONTAIN-005: Intrekken van sessies & tokens
- Blokkeer gecompromitteerde cloud-identiteiten en verwijder identiteiten, rollen en access keys die de aanvaller heeft aangemaakt
  - 📘 RB-CONTAIN-001: Account blokkeren
- Blokkeer uitgaande bestemmingen die de aanvaller gebruikt (egress-regels, firewall, WAF)
  - 📘 RB-CONTAIN-007: Blokkeren van uitgaande overdracht
- Zet cloud-logging en securitydiensten die de aanvaller heeft uitgeschakeld of gemanipuleerd weer aan
Eradication-stappen:
- Draai IAM-resources terug die de aanvaller heeft aangemaakt (rollen, policies, gebruikers, access keys, trust relationships)
- Draai infrastructuur terug die de aanvaller heeft aangemaakt (instances, security groups, netwerkinrichting, geplande functies)
- Verwijder persistence van de aanvaller in compute (cron, systemd-units, container-images, Lambda-triggers, scheduled tasks)
- Roteer alle credentials en secrets die vanaf getroffen workloads bereikbaar zijn (credentials van instance roles, omgevingsvariabelen, items in de secrets manager, hardcoded credentials)
- Beperk of roteer cloud-beheerderscredentials die tijdens het incidentvenster zijn gebruikt
- Patch de kwetsbaarheid of misconfiguratie die de initiële toegang mogelijk maakte
Recovery-stappen:
- Bouw getroffen workloads opnieuw op vanuit betrouwbare infrastructure-as-code of images, in plaats van ze ter plekke op te schonen
  - 📘 RB-RECOVERY-002: Schone herinstallatie van systemen
- Coördineer een gefaseerd herstel van clouddiensten en valideer vóór het opnieuw aansluiten
  - 📘 RB-RECOVERY-001: Coördinatie van recovery & herstel
- Valideer dat cloud-logging, alerting en securitydiensten volledig hersteld zijn en weer rapporteren
- Monitor de hele cloudomgeving op hergebruik van indicatoren van de aanvaller (IP's, ASN's, user-agents, signaturen van tools)
Waarschuwing: Zet diensten NIET terug in productie voordat:
- Alle IAM-resources die de aanvaller heeft aangemaakt zijn verwijderd
- Alle credentials die aan de aanvaller zijn blootgesteld zijn geroteerd
- Bevestigd is dat cloud-logging en securitydiensten hersteld zijn
- De initiële toegangsvector is verholpen
- Er geen aanvullende gecompromitteerde cloud-identiteiten of workloads zijn gevonden

7. Communicatie & escalatie

Interne communicatie:
- Informeer het Cloud Security-/platformteam direct na bevestiging
- Informeer applicatie- en workload-eigenaren vóór isolatieacties die hun diensten raken
  - 📘 SOP-004: Gebruikersnotificatie tijdens een security-incident
- Informeer de directie bij incidenten van Sev 1 en Sev 0
- Roep de on-call op volgens de SOP van de organisatie
  - 📘 SOP-001: On-call van een engineeringteam oproepen bij security-incidenten
Externe communicatie:
- Schakel Legal en Compliance in als gereguleerde data mogelijk is blootgesteld
- Schakel support / de TAM van de cloudprovider in voor onderzoek aan de kant van de provider, toegang tot logs of ingrijpen op accountniveau
- Informeer klanten, toezichthouders of partners volgens de aanwijzingen van Legal
  - 📘 SOP-003: Escalatie en communicatie met Legal en directie

Escalatiecriteria:

Situatie	Escaleren naar
Gecompromitteerde IAM-gebruiker, rol, service account, workload identity, token of access key in de cloud vraagt om containment van de identiteit	PB-004: Account Takeover
Gecompromitteerd account van een gebruiker, service of bot vastgesteld als initiële toegangsvector	PB-004: Account Takeover
Misbruik van een zero-day vastgesteld als initiële toegangsvector	PB-018: Zero-Day Response
Malware geplaatst op een cloud-workload	PB-003: Endpoint-malware-infectie
Ransomwareactiviteit waargenomen	PB-002: Ransomware Incident Response
Data-exfiltratie bevestigd	PB-005: Data-exfiltratie
Compromittering van de hele cloud-tenant, van een cloudbeheerder of van de logging-infrastructuur	PB-019: Management van een major security incident / escalatie naar de directie

8. Post-incidentactiviteiten

Lessons learned:
- Houd een post-incidentreview (PIR)
- Documenteer wat werkte, wat niet werkte en wat beter moet
- Leg cloudspecifieke hiaten vast (dekking van de detectie, IAM-hygiëne, bewaartermijn van logs, IaC-drift)
Hardening & documentatie bijwerken:
- Scherp IAM-policies aan, verwijder ongebruikte rollen en access keys, dwing least privilege af
- Dwing MFA af voor alle menselijke cloudbeheerders en break-glass-procedures voor niet-menselijke rollen
- Zet cloud-native security-baselines aan (GuardDuty, Defender for Cloud, GCP SCC, Oracle Cloud Guard) in alle accounts / subscriptions / projecten / tenancies
- Dwing IMDSv2 (of het equivalent) af waar van toepassing; beperk de toegang van workloads tot metadata
- Zorg dat cloud-logging centraal, bewaard en bestand tegen manipulatie is
- Werk IaC-templates en pipelines bij om herhaling te voorkomen
- Werk detectieregels, playbooks, runbooks en KB-artikelen zo nodig bij

9. Referenties & gekoppelde bronnen

10. Bijlagen

Contactlijst:
- On-call van het Cloud Security-/platformteam
- TAM / support van de cloudprovider
- Identity & Access-team (IAM)
- Legal & Compliance
- Escalatielijn naar de directie
Templates:
- Template incidentlog
- Checklist voor het veiligstellen van cloud-bewijsmateriaal (control plane-logs, snapshots van workloads, identity-logs)
Processchema:
- Workflow voor de respons op een cloud compromise

Bijdrager

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.