PB-010: Lateral Movement

Documentbeheer

1. Doel & scope

• Doel:

  Dit playbook legt de responsworkflow vast bij vermoedelijke of bevestigde lateral movement. Het wordt gebruikt om vast te stellen hoe een aanvaller zich tussen systemen, accounts, applicaties, cloudresources of netwerksegmenten heeft verplaatst, verdere verplaatsing te stoppen, bewijsmateriaal veilig te stellen en de recovery te coördineren.

• Scope:

  Van toepassing op lateral movement over endpoints, servers, Active Directory, identity providers, VPN, tooling voor beheer op afstand, cloud-workloads, cloud control planes, SaaS-applicaties en toegangspaden van derden. Voer dit playbook samen met de playbooks voor account takeover, privilege escalation, malware, ransomware, cloud compromise of data-exfiltratie uit als die situaties zich voordoen.

2. Incidentidentificatie & criteria

Type incident: Lateral Movement

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

• Aanmelding op afstand, RDP, SSH, SMB, WMI, WinRM, PsExec of beheer op afstand vanaf een ongebruikelijke bron
• Hetzelfde account dat zich in een afwijkend patroon op meerdere systemen aanmeldt
• Gebruik van een geprivilegieerd account vanaf een niet-standaard host of een onverwachte locatie
• Beheertooling, remote monitoring-tooling of dual-use-tooling gebruikt zonder goedkeuring
• Nieuwe service, scheduled task, commando op afstand of uitvoering van een script op een andere host
• Role chaining in de cloud, toegang over accounts heen, pivoteren via workload identities of toegang over tenants heen
• Malware, ransomware of verdachte uitvoering die zich kan verspreiden
• Gebruik van gedeelde credentials, tokens, API-sleutels of service accounts op meerdere assets

Severity-niveaus:

3. Rollen & verantwoordelijkheden

• Incident Commander: Coördineert de respons, keurt de omvang van de containment goed, stelt de severity vast en is eigenaar van escalatiebesluiten.
• Incident responder / Forensic Analyst: Reconstrueert het verplaatsingspad, stelt getroffen assets en accounts vast, analyseert uitvoering op afstand en stelt bewijsmateriaal veilig.
• Communications Lead: Coördineert interne updates, communicatie met getroffen gebruikers en berichten aan de directie.
• Overige rollen:
  • Identity & Access-team: Reviewt authenticatiepaden, geprivilegieerde accounts, service accounts, sessies, MFA en misbruik van tokens.
  • Endpoint-/infrastructuurteam: Ondersteunt bij host-isolatie, segmentatie, het verzamelen van bewijsmateriaal, herinstallatie en validatie van de recovery.
  • Netwerkteam: Beperkt protocollen voor lateral movement en valideert de segmentatiemaatregelen.
  • Cloud Security-/platformteam: Reviewt het aannemen van rollen in de cloud, pivots via workloads en containment-acties in de cloud.
  • Applicatie- / service-eigenaren: Valideren of waargenomen beheeractiviteit geautoriseerd was en ondersteunen de recovery.
  • Legal & Compliance: Wordt ingeschakeld als de verplaatsing leidde tot toegang tot data, exfiltratie, impact op klanten of blootstelling van gereguleerde systemen.

4. Eerste acties

• Directe stappen:

  • Valideer de alert en stel de oorspronkelijke bron, bestemming, het account, protocol, de tool, het tijdstip en de getroffen bedrijfsdienst vast.
    • 📘 RB-TRIAGE-002: Triage van EDR-alerts
    • 📘 RB-TRIAGE-003: Triage van identity-alerts
    • 📘 RB-TRIAGE-011: Triage van alerts van het cloudplatform
  • Stel vast of de verplaatsing nog gaande is.
  • Schakel infrastructuur-, identity- en service-eigenaren in als containment de productie kan verstoren.
    • 📘 SOP-001: On-call van een engineeringteam oproepen bij security-incidenten

  Beslispunt:

  • Verplaatsing is nu actief → isoleer getroffen systemen en beperk direct de protocollen voor lateral movement.
  • Alleen verplaatsing in het verleden → stel eerst bewijsmateriaal veilig en ga daarna door met gerichte containment.

5. Onderzoek & analyse

• Verzamelen van bewijsmateriaal:

  • Verzamel voor elke bron en bestemming de logs van endpointprocessen, command lines, aangemaakte services, scheduled tasks, authenticatie, VPN, netwerk, cloud en SaaS.
    • 📘 RB-EVIDENCE-002: Acquisitie van host-logs
    • 📘 RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
    • 📘 RB-EVIDENCE-004: Acquisitie van control plane-logs in de cloud
  • Maak een geheugendump als credential theft, tooling in het geheugen, diefstal van tokens of actieve malware wordt vermoed.
    • 📘 RB-EVIDENCE-001: Geheugenacquisitie

• Analysestappen:

  • Stel patient zero, de vroegste verdachte activiteit en de eerste bevestigde verplaatsing vast.
    • 📘 RB-ANALYSIS-003: Patient zero vaststellen
  • Review de tijdlijnen van authenticatie, aanmeldingen over systemen heen, gedeelde credentials, MFA-gebeurtenissen en hergebruik van sessies.
    • 📘 RB-ANALYSIS-007: Analyse van authenticatielogs
  • Stel aanvullende gecompromitteerde accounts, gedeelde indicatoren en aangrenzende identiteiten vast.
    • 📘 RB-ANALYSIS-011: Aanvullende gecompromitteerde accounts vaststellen
  • Beoordeel de blootstelling van geprivilegieerde accounts en het springen tussen beheersessies.
    • 📘 RB-ANALYSIS-009: Beoordeling van geprivilegieerde toegang
  • Analyseer de ketens van uitvoering op afstand, command lines, LOLBins en scripts waarmee is verplaatst of op doelsystemen is uitgevoerd.
    • 📘 RB-ANALYSIS-006: Analyse van de procesboom
    • 📘 RB-ANALYSIS-023: Commandoregelanalyse
    • 📘 RB-ANALYSIS-024: Onderzoek naar misbruik van LOLBins
    • 📘 RB-ANALYSIS-025: Analyse van scriptuitvoering
  • Valideer of de activiteit goedgekeurd beheer, automatisering, een deployment of securitytest was.
    • 📘 RB-ANALYSIS-026: Validatie van gebruikersactiviteit
  • Review bij verplaatsing in de cloud het aannemen van rollen, activiteit over accounts heen, wijzigingen aan resources en persistence.
    • 📘 RB-ANALYSIS-043: Analyse van activiteit in de cloud control plane
  • Bouw een inventaris van getroffen assets op en houd die bij.
    • 📘 RB-ANALYSIS-035: Getroffen assets vaststellen
  • Breng de waargenomen technieken in kaart en stel hiaten in de detectie vast.
    • 📘 RB-ANALYSIS-005: TTP-mapping van de threat actor

  Beslispunt: Voer, afhankelijk van wat is waargenomen, de fasen na detectie (analyse → recovery) van elk relevant verwant playbook gelijktijdig met dit playbook uit:

  • Privilege escalation vastgesteld → voer gelijktijdig PB-009: Privilege Escalation uit.
  • Malware of verdachte uitvoering dreef de verplaatsing → voer gelijktijdig PB-003: Endpoint-malware-infectie of PB-011: Verdachte uitvoering uit.
  • Verspreiding van ransomware waargenomen → voer gelijktijdig PB-002: Ransomware Incident Response uit.
  • Toegang tot data of staging op doelsystemen → voer gelijktijdig PB-005: Data-exfiltratie uit.

6. Containment, eradication & recovery

• Containment-acties:

  • Isoleer getroffen hosts en beperk protocollen voor beheer op afstand.
    • 📘 RB-CONTAIN-004: Host-isolatie
  • Segmenteer getroffen netwerken en blokkeer paden voor lateral movement zoals SMB, RDP, PsExec, WMI, WinRM, SSH en admin shares.
    • 📘 RB-CONTAIN-002: Snelle containment & netwerksegmentatie
  • Blokkeer gecompromitteerde accounts en trek actieve sessies en tokens in.
    • 📘 RB-CONTAIN-001: Account blokkeren
    • 📘 RB-CONTAIN-005: Intrekken van sessies & tokens
  • Zijn Active Directory of geprivilegieerde groepen geraakt: schakel gecompromitteerde domeinaccounts uit, verwijder ongeautoriseerde groepslidmaatschappen, blokkeer verdachte beheersessies en stel bewijsmateriaal op de domain controllers veilig voordat je brede wijzigingen doorvoert.
    • 📘 RB-CONTAIN-003: Containment in Active Directory
  • Isoleer getroffen cloud-workloads als de verplaatsing via workload identities of in de cloud gehoste systemen liep.
    • 📘 RB-CONTAIN-015: Isolatie van cloud-workloads

• Eradication-stappen:

  • Verwijder kwaadaardige services, scheduled tasks, tooling voor toegang op afstand, scripts, accounts, credentials, access keys en persistence-mechanismen.
  • Roteer credentials en secrets die bij de verplaatsing zijn gebruikt, waaronder gedeelde lokale beheerderswachtwoorden, credentials van service accounts, API-sleutels en cloud access keys.
  • Herstel goedgekeurde configuraties van netwerk, IAM, directory en hosts.

• Recovery-stappen:

  • Bouw systemen opnieuw op als de integriteit onzeker is of persistence is gevonden.
    • 📘 RB-RECOVERY-002: Schone herinstallatie van systemen
  • Coördineer een gefaseerd herstel en het weer aansluiten van gesegmenteerde systemen.
    • 📘 RB-RECOVERY-001: Coördinatie van recovery & herstel
  • Herstel gebruikerstoegang pas als de containment van credentials, tokens en MFA is afgerond.
    • 📘 RB-RECOVERY-003: Herstel van gebruikers & toegang

  Beslispunt: Vindt er na de containment nieuwe verplaatsing plaats, vergroot dan de scope, controleer de geprivilegieerde toegang opnieuw en ga terug naar onderzoek & analyse.

7. Communicatie & escalatie

• Interne communicatie:

  • Informeer de securityleiding, infrastructuureigenaren, identityteams, eigenaren van getroffen diensten en zakelijke stakeholders.
  • Gebruik de overdracht tussen regio's als het incident meerdere diensten beslaat.
    • 📘 SOP-002: Incidentoverdracht tussen regio's
  • Informeer getroffen gebruikers als accountresets, MFA-resets of het herstellen van toegang nodig zijn.
    • 📘 SOP-004: Gebruikersnotificatie tijdens een security-incident

• Externe communicatie:

  • Schakel Legal/Privacy in als de lateral movement klantdata, gereguleerde systemen, omgevingen van partners of extern gehoste infrastructuur heeft bereikt.
    • 📘 SOP-003: Escalatie en communicatie met Legal en directie

• Escalatiecriteria:

  Situatie	Escaleren naar
  Privilege escalation vastgesteld	PB-009: Privilege Escalation
  Malware of verdachte uitvoering vastgesteld	PB-003: Endpoint-malware-infectie / PB-011: Verdachte uitvoering
  Verspreiding van ransomware waargenomen	PB-002: Ransomware Incident Response
  Compromittering van een account of hergebruik van tokens vastgesteld	PB-004: Account Takeover
  Verplaatsing in de cloud of misbruik van de control plane vastgesteld	PB-007: Cloud Compromise
  Data staging of exfiltratie vastgesteld	PB-005: Data-exfiltratie
  Verspreiding door de hele organisatie of impact op kritieke infrastructuur	PB-019: Management van een major security incident

8. Post-incidentactiviteiten

• Lessons learned:

  • Houd een post-incidentreview (PIR)
  • Documenteer wat werkte, wat niet werkte en wat beter moet

• Documentatie bijwerken:

  • Werk dit playbook, de detectielogica, segmentatiestandaarden, maatregelen voor beheer op afstand en gekoppelde runbooks zo nodig bij.

9. Referenties & gekoppelde bronnen

• Playbooks:

  • PB-002: Ransomware Incident Response
  • PB-003: Endpoint-malware-infectie
  • PB-004: Account Takeover
  • PB-005: Data-exfiltratie
  • PB-007: Cloud Compromise
  • PB-009: Privilege Escalation
  • PB-011: Verdachte uitvoering
  • PB-019: Management van een major security incident

• Runbooks:

  • RB-TRIAGE-002: Triage van EDR-alerts
  • RB-TRIAGE-003: Triage van identity-alerts
  • RB-TRIAGE-011: Triage van alerts van het cloudplatform
  • RB-EVIDENCE-001: Geheugenacquisitie
  • RB-EVIDENCE-002: Acquisitie van host-logs
  • RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
  • RB-EVIDENCE-004: Acquisitie van control plane-logs in de cloud
  • RB-ANALYSIS-003: Patient zero vaststellen
  • RB-ANALYSIS-005: TTP-mapping van de threat actor
  • RB-ANALYSIS-007: Analyse van authenticatielogs
  • RB-ANALYSIS-009: Beoordeling van geprivilegieerde toegang
  • RB-ANALYSIS-011: Aanvullende gecompromitteerde accounts vaststellen
  • RB-ANALYSIS-023: Commandoregelanalyse
  • RB-ANALYSIS-024: Onderzoek naar misbruik van LOLBins
  • RB-ANALYSIS-025: Analyse van scriptuitvoering
  • RB-ANALYSIS-026: Validatie van gebruikersactiviteit
  • RB-ANALYSIS-035: Getroffen assets vaststellen
  • RB-ANALYSIS-043: Analyse van activiteit in de cloud control plane
  • RB-CONTAIN-001: Account blokkeren
  • RB-CONTAIN-002: Snelle containment & netwerksegmentatie
  • RB-CONTAIN-003: Containment in Active Directory
  • RB-CONTAIN-004: Host-isolatie
  • RB-CONTAIN-005: Intrekken van sessies & tokens
  • RB-CONTAIN-015: Isolatie van cloud-workloads
  • RB-RECOVERY-001: Coördinatie van recovery & herstel
  • RB-RECOVERY-002: Schone herinstallatie van systemen
  • RB-RECOVERY-003: Herstel van gebruikers & toegang
  • RB-POST-001: Hardening na een ransomware-incident

• SOP's:

  • SOP-001: On-call van een engineeringteam oproepen bij security-incidenten
  • SOP-002: Incidentoverdracht tussen regio's
  • SOP-003: Escalatie en communicatie met Legal en directie
  • SOP-004: Gebruikersnotificatie tijdens een security-incident

10. Bijlagen

Bijdrager

Jayden Vo GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.