PB-009: Privilege Escalation

Documentbeheer

1. Doel & scope

• Doel:

  Dit playbook legt de responsworkflow vast bij vermoedelijke of bevestigde privilege escalation, waaronder ongeautoriseerde verhoging van gewone gebruiker naar beheerder, misbruik van geprivilegieerde rollen, lokale privilege escalation op endpoints, privilege escalation in de directory, escalatie in cloud-IAM, misbruik van service accounts en manipulatie van beheerbeleid.

• Scope:

  Van toepassing op privilege escalation op endpoints, servers, identity providers, Active Directory, cloudplatforms, SaaS-applicaties en beheertooling. Voer dit playbook samen met verwante playbooks uit als de escalatie onderdeel is van een account takeover, malware, lateral movement, cloud compromise of data-exfiltratie.

2. Incidentidentificatie & criteria

Type incident: Privilege Escalation

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

• Nieuwe of onverwachte toewijzing van een geprivilegieerde rol
• Gebruiker toegevoegd aan lokale admins, Domain Admins, cloud-admins, SaaS-admins of een andere gevoelige groep
• Geprivilegieerde sessie vanaf een ongebruikelijke bron, apparaat, regio of user-agent
• Alert over UAC-bypass, token impersonation, credential dumping of misbruik van rechten
• Service account, workload identity, OAuth-app of API-sleutel met te ruime rechten
• IAM-policy, group policy, conditional access, MFA, logging of een securitymaatregel gewijzigd zonder goedkeuring
• Uitvoering van geprivilegieerde tools vanaf een onverwacht endpoint of account
• Exploitatieactiviteit die tot hogere rechten leidt

Severity-niveaus:

3. Rollen & verantwoordelijkheden

• Incident Commander: Coördineert de respons, keurt het moment van containment goed, beheert de severity en is eigenaar van escalatiebesluiten.
• Incident responder / Forensic Analyst: Valideert de escalatieactiviteit, reconstrueert de tijdlijn, stelt getroffen accounts en assets vast en stelt bewijsmateriaal veilig.
• Communications Lead: Coördineert updates aan stakeholders en communicatie met getroffen gebruikers.
• Overige rollen:
  • Identity & Access-team: Reviewt roltoewijzingen, sessies, MFA, tokens, service accounts en de integriteit van de directory.
  • Endpoint-/platformteam: Ondersteunt bij het verzamelen van bewijsmateriaal op hosts, isolatie, herinstallatie en validatie van endpointmaatregelen.
  • Cloud Security-/platformteam: Reviewt cloud-IAM, activiteit in de control plane, workload identities en containment-acties in de cloud.
  • Applicatie- / service-eigenaren: Valideren of geprivilegieerde acties geautoriseerd waren en ondersteunen bij veilig terugdraaien.
  • Legal & Compliance: Beoordeelt externe meldplichten als gevoelige data, gereguleerde systemen of klanten zijn geraakt.

4. Eerste acties

• Directe stappen:

  • Valideer de bron van de alert en de getroffen identiteit, host, rol of dienst.
    • 📘 RB-TRIAGE-003: Triage van identity-alerts
    • 📘 RB-TRIAGE-002: Triage van EDR-alerts
    • 📘 RB-TRIAGE-011: Triage van alerts van het cloudplatform
  • Stel vast welke rechten zijn verkregen, het bronaccount, het doelsysteem, het tijdstip en of de activiteit nog gaande is.
  • Informeer de Incident Commander en schakel zo nodig de eigenaren van identity, platform of cloud in.
    • 📘 SOP-001: On-call van een engineeringteam oproepen bij security-incidenten

  Beslispunt:

  • De activiteit is goedgekeurd en verwacht → leg de onderbouwing vast en sluit af.
  • Ongeautoriseerd, verdacht of onopgehelderd → ga door met onderzoek en containment.

5. Onderzoek & analyse

• Verzamelen van bewijsmateriaal:

  • Verzamel de logs van identity, sessies, MFA, roltoewijzingen, audit, endpoints en de cloud control plane over het incidentvenster.
    • 📘 RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
    • 📘 RB-EVIDENCE-002: Acquisitie van host-logs
    • 📘 RB-EVIDENCE-004: Acquisitie van control plane-logs in de cloud
  • Maak een geheugendump als credential theft, diefstal van tokens, toegang tot LSASS of tooling in het geheugen wordt vermoed.
    • 📘 RB-EVIDENCE-001: Geheugenacquisitie

• Analysestappen:

  • Beoordeel de huidige en historische blootstelling van geprivilegieerde toegang.
    • 📘 RB-ANALYSIS-009: Beoordeling van geprivilegieerde toegang
  • Analyseer authenticatieactiviteit, MFA-gebeurtenissen, sessies en geprivilegieerde aanmeldingen.
    • 📘 RB-ANALYSIS-007: Analyse van authenticatielogs
  • Review procesbomen, commando's, LOLBins en scripts die bij de escalatiepogingen betrokken zijn.
    • 📘 RB-ANALYSIS-006: Analyse van de procesboom
    • 📘 RB-ANALYSIS-023: Commandoregelanalyse
    • 📘 RB-ANALYSIS-024: Onderzoek naar misbruik van LOLBins
    • 📘 RB-ANALYSIS-025: Analyse van scriptuitvoering
  • Valideer of de activiteit was geautoriseerd door de gebruiker, de systeemeigenaar of een change-record.
    • 📘 RB-ANALYSIS-026: Validatie van gebruikersactiviteit
  • Stel aanvullende gecompromitteerde accounts, gedeelde indicatoren, geërfde rechten en aangrenzende beheerrelaties vast.
    • 📘 RB-ANALYSIS-011: Aanvullende gecompromitteerde accounts vaststellen
  • Reconstrueer bij privilege escalation in de cloud de activiteit rond IAM, resources, regio's en securitydiensten.
    • 📘 RB-ANALYSIS-043: Analyse van activiteit in de cloud control plane
  • Heeft exploitatie tot verhoogde toegang geleid, verifieer dan de exploitatie en de getroffen assets.
    • 📘 RB-ANALYSIS-041: Verificatie van exploitatie
    • 📘 RB-ANALYSIS-035: Getroffen assets vaststellen

  Beslispunt: Voer, afhankelijk van wat is waargenomen, de fasen na detectie (analyse → recovery) van elk relevant verwant playbook gelijktijdig met dit playbook uit:

  • Compromittering van een account bevestigd → voer gelijktijdig PB-004: Account Takeover uit.
  • Malware vermoed of vastgesteld → voer gelijktijdig PB-003: Endpoint-malware-infectie uit.
  • Lateral movement vastgesteld → voer gelijktijdig PB-010: Lateral Movement uit.
  • Verdachte uitvoering van processen of scripts is het belangrijkste signaal → voer gelijktijdig PB-011: Verdachte uitvoering uit.
  • Cloud compromise vermoed of vastgesteld → voer gelijktijdig PB-007: Cloud Compromise uit.

6. Containment, eradication & recovery

• Containment-acties:

  • Schakel gecompromitteerde accounts uit of blokkeer ze en verwijder ongeautoriseerde geprivilegieerde toewijzingen.
    • 📘 RB-CONTAIN-001: Account blokkeren
  • Trek sessies, OAuth-tokens, API-tokens, refresh tokens, VPN-sessies en blijvende sessies in.
    • 📘 RB-CONTAIN-005: Intrekken van sessies & tokens
  • Reset MFA als registratie van factoren, vertrouwde apparaten of omzeiling van MFA wordt vermoed.
    • 📘 RB-CONTAIN-006: MFA-reset & validatie
  • Dam het risico op directoryniveau in als geprivilegieerde Active Directory- of domeintoegang is geraakt.
    • 📘 RB-CONTAIN-003: Containment in Active Directory
  • Isoleer hosts of cloud-workloads die zijn gebruikt om verhoogde toegang te verkrijgen of te gebruiken.
    • 📘 RB-CONTAIN-004: Host-isolatie
    • 📘 RB-CONTAIN-015: Isolatie van cloud-workloads

• Eradication-stappen:

  • Verwijder ongeautoriseerde accounts, groepen, rollen, access keys, service principals, OAuth-grants, policies, scheduled tasks, services en persistence-mechanismen.
  • Zet de configuratie van IAM, directory, conditional access, MFA, logging en securitymaatregelen terug naar de goedgekeurde baseline.
  • Roteer credentials, secrets, certificaten, API-sleutels en credentials van service accounts die blootgesteld kunnen zijn.

• Recovery-stappen:

  • Herstel gebruikers- of beheertoegang pas nadat de containment en de integriteit van de toegang zijn gevalideerd.
    • 📘 RB-RECOVERY-003: Herstel van gebruikers & toegang
  • Bouw gecompromitteerde systemen opnieuw op of richt ze opnieuw in als de escalatie gepaard ging met compromittering of persistence op een host.
    • 📘 RB-RECOVERY-002: Schone herinstallatie van systemen
  • Coördineer een gefaseerde recovery bij impact op identity, cloud of kritieke infrastructuur.
    • 📘 RB-RECOVERY-001: Coördinatie van recovery & herstel

7. Communicatie & escalatie

• Interne communicatie:

  • Informeer de securityleiding, identity-eigenaren, systeemeigenaren, cloud- en platformeigenaren en de getroffen bedrijfsteams.
  • Gebruik de overdracht tussen regio's bij incidenten die meerdere diensten beslaan.
    • 📘 SOP-002: Incidentoverdracht tussen regio's
  • Informeer getroffen gebruikers als acties rond credentials, MFA of het herstellen van toegang nodig zijn.
    • 📘 SOP-004: Gebruikersnotificatie tijdens een security-incident

• Externe communicatie:

  • Schakel Legal/Privacy in als geprivilegieerde toegang klantdata, gereguleerde data, productiesystemen of omgevingen van derden heeft bereikt.
    • 📘 SOP-003: Escalatie en communicatie met Legal en directie

• Escalatiecriteria:

  Situatie	Escaleren naar
  Gecompromitteerd account veroorzaakte de escalatie	PB-004: Account Takeover
  Lateral movement waargenomen	PB-010: Lateral Movement
  Verdachte uitvoering, misbruik van LOLBins of scripts waargenomen	PB-011: Verdachte uitvoering
  Malware vermoed of vastgesteld	PB-003: Endpoint-malware-infectie
  Cloud compromise vermoed of vastgesteld	PB-007: Cloud Compromise
  Toegang tot of exfiltratie van gevoelige data vastgesteld	PB-005: Data-exfiltratie
  Compromittering van het hele domein, de hele tenant of de securitytooling	PB-019: Management van een major security incident

8. Post-incidentactiviteiten

• Lessons learned:

  • Houd een post-incidentreview (PIR)
  • Documenteer wat werkte, wat niet werkte en wat beter moet
  • Beoordeel least privilege, just-in-time-toegang, de scope van service accounts en de segmentatie van beheer.

• Documentatie bijwerken:

  • Werk dit playbook, de verwante runbooks, detecties, procedures voor access reviews en hardeningrichtlijnen bij op basis van de bevindingen.

9. Referenties & gekoppelde bronnen

• Playbooks:

  • PB-003: Endpoint-malware-infectie
  • PB-004: Account Takeover
  • PB-005: Data-exfiltratie
  • PB-007: Cloud Compromise
  • PB-010: Lateral Movement
  • PB-011: Verdachte uitvoering
  • PB-019: Management van een major security incident

• Runbooks:

  • RB-TRIAGE-002: Triage van EDR-alerts
  • RB-TRIAGE-003: Triage van identity-alerts
  • RB-TRIAGE-011: Triage van alerts van het cloudplatform
  • RB-EVIDENCE-001: Geheugenacquisitie
  • RB-EVIDENCE-002: Acquisitie van host-logs
  • RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
  • RB-EVIDENCE-004: Acquisitie van control plane-logs in de cloud
  • RB-ANALYSIS-007: Analyse van authenticatielogs
  • RB-ANALYSIS-009: Beoordeling van geprivilegieerde toegang
  • RB-ANALYSIS-011: Aanvullende gecompromitteerde accounts vaststellen
  • RB-ANALYSIS-023: Commandoregelanalyse
  • RB-ANALYSIS-024: Onderzoek naar misbruik van LOLBins
  • RB-ANALYSIS-025: Analyse van scriptuitvoering
  • RB-ANALYSIS-026: Validatie van gebruikersactiviteit
  • RB-ANALYSIS-035: Getroffen assets vaststellen
  • RB-ANALYSIS-041: Verificatie van exploitatie
  • RB-ANALYSIS-043: Analyse van activiteit in de cloud control plane
  • RB-CONTAIN-001: Account blokkeren
  • RB-CONTAIN-003: Containment in Active Directory
  • RB-CONTAIN-004: Host-isolatie
  • RB-CONTAIN-005: Intrekken van sessies & tokens
  • RB-CONTAIN-006: MFA-reset & validatie
  • RB-RECOVERY-001: Coördinatie van recovery & herstel
  • RB-RECOVERY-002: Schone herinstallatie van systemen
  • RB-RECOVERY-003: Herstel van gebruikers & toegang

• SOP's:

  • SOP-001: On-call van een engineeringteam oproepen bij security-incidenten
  • SOP-002: Incidentoverdracht tussen regio's
  • SOP-003: Escalatie en communicatie met Legal en directie
  • SOP-004: Gebruikersnotificatie tijdens een security-incident

10. Bijlagen

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.