PB-012: Compromittering van een derde partij

Documentbeheer

1. Doel & scope

• Doel:

  Een gestructureerde respons bieden bij vermoedelijke of bevestigde compromittering van een derde partij. Gebruik dit playbook om de melding te valideren, de blootstelling te beoordelen, risicovolle toegang te beperken, secundaire impact vast te stellen en vertrouwde toegang veilig te herstellen.

• Scope:

  Van toepassing op gecompromitteerde leveranciers, toeleveranciers, MSP's, SaaS-providers, cloudproviders, softwaredependencies, contractanten, partners en vertrouwde integraties. Impact wordt niet aangenomen; die moet met bewijs worden bevestigd.

2. Incidentidentificatie & criteria

Type incident: Compromittering van een derde partij

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

• Een leverancier, MSP, SaaS-provider, cloudprovider, toeleverancier of partner meldt een datalek of mogelijke impact op klanten
• Een product, dependency, package, update, appliance of managed service van een derde partij die de organisatie gebruikt, is gecompromitteerd of wordt misbruikt
• Credentials, API-sleutels, tokens, certificaten, secrets, integraties, gedelegeerde toegang of federatierelaties van een derde partij zijn blootgesteld of worden misbruikt
• Threat intelligence of interne telemetrie wijst erop dat vertrouwde toegang van een derde partij mogelijk is gebruikt tegen systemen, data of bedrijfsvoering van de organisatie

Severity-niveaus:

3. Rollen & verantwoordelijkheden

• Incident Commander: Stelt de severity vast, coördineert de respons, keurt containment goed en is eigenaar van escalatiebesluiten.
• Incident responder / Forensic Analyst: Valideert de melding, bepaalt de omvang van de blootstelling, analyseert activiteit en stelt bewijsmateriaal veilig.
• Communications Lead: Coördineert interne updates, communicatie met de leverancier en berichten aan getroffen gebruikers.
• Overige rollen:
  • Eigenaar van de leverancier / derde partij: Bevestigt de zakelijke relatie, de gebruikte diensten, toegangspaden en contactpersonen bij de leverancier.
  • Identity & Access-team: Reviewt SSO, federatie, MFA, accounts, tokens, API-sleutels en geprivilegieerde rollen.
  • Cloud-/SaaS-/platformteams: Reviewen integraties, auditlogs, service accounts en de blootstelling van workloads.
  • Applicatie- / service-eigenaren: Valideren getroffen dependencies, toegang tot data, bedrijfsimpact en de behoefte aan recovery.
  • Legal / Compliance / Vendor Risk: Beoordelen verplichtingen uit contracten en regelgeving en tegenover klanten en partners, en het leveranciersrisico.

4. Eerste acties

• Directe stappen:

  • Valideer de bron van de melding, de getroffen dienst, de scope en de urgentie voordat je ontwrichtende acties neemt.
    • 📘 RB-TRIAGE-004: Validatie van een melding van een derde partij
  • Stel vast om welke leverancier, welk product, welke dienst, integratie, welk account of welke dependency het gaat.
  • Bevestig of de organisatie het gebruikt en stel de interne zakelijke eigenaar vast.
  • Schakel zo nodig de IR-leiding, de eigenaar van de leverancier, identity- en platformeigenaren en Legal in.
    • 📘 SOP-001: On-call van een engineeringteam oproepen bij security-incidenten

  Beslispunt:

  • De organisatie gebruikt de getroffen leverancier, het product, de dienst of de integratie niet → leg het bewijs vast en sluit af of verlaag de severity.
  • De organisatie gebruikt het wel → ga door met de beoordeling van de blootstelling.
  • Actief misbruik vermoed of vastgesteld → start parallel met containment.

5. Onderzoek & analyse

Veelgemaakte fouten

• Aannemen dat compromittering van een derde partij automatisch interne compromittering betekent
• Aannemen dat er geen interne impact is omdat er geen eerste indicatoren zijn gevonden
• Gedelegeerde toegang, service accounts, OAuth-apps, API-sleutels of verouderde leveranciersaccounts over het hoofd zien
• Het vertrouwen herstellen voordat het herstel bij de leverancier en de validatie van de interne blootstelling zijn afgerond
• Geen beoordeling maken van afhankelijkheden verderop in de keten, de impact op klanten of vertraagde activiteit van de aanvaller

• Verzamelen van bewijsmateriaal:

  • Verzamel meldingen van de leverancier, advisories, IOC's, getroffen versies, tijdlijnen en contactpersonen.
  • Verzamel relevante logs en inventarissen voor getroffen leveranciers, producten, accounts, integraties, sleutels, datastores en gekoppelde systemen.

• Analysestappen:

  • Stel vast welke toegang de derde partij heeft tot systemen, data, identity, productie, broncode, CI/CD of beheer.
    • 📘 RB-ANALYSIS-027: Beoordeling van blootstelling bij een derde partij
  • Beoordeel getroffen producten, versies, dependencies, de omvang van de uitrol, afhankelijkheden verderop in de keten en aanvalspaden.
    • 📘 RB-ANALYSIS-028: Analyse van de impact op de supply chain
  • Review aan de leverancier gerelateerde activiteit in SSO, federatie, VPN, API's, service accounts en geprivilegieerde aanmeldingen.
    • 📘 RB-ANALYSIS-007: Analyse van authenticatielogs
  • Review geprivilegieerde accounts van derden, gedelegeerd beheer, OAuth-apps, API-sleutels en tooling voor managed services.
    • 📘 RB-ANALYSIS-009: Beoordeling van geprivilegieerde toegang
  • Stel verwante accounts, integraties, service accounts, secrets, systemen en bedrijfsonderdelen met gedeelde blootstelling vast.
  • Review activiteit in SaaS, cloudopslag, bestandstoegang en integraties op toegang tot gevoelige data.
    • 📘 RB-ANALYSIS-020: Review van cloudopslag & SaaS
    • 📘 RB-ANALYSIS-021: Beoordeling van de impact op gevoelige data

  Beslispunt: Voer, afhankelijk van wat is waargenomen, de fasen na detectie (analyse → recovery) van elk relevant verwant playbook gelijktijdig met dit playbook uit:

  • Compromittering van een account of misbruik van credentials vermoed of vastgesteld → voer gelijktijdig PB-004: Account Takeover uit.
  • Blootstelling, staging of exfiltratie van data vermoed of vastgesteld → voer gelijktijdig PB-005: Data-exfiltratie uit.
  • Cloud compromise vermoed of vastgesteld → voer gelijktijdig PB-007: Cloud Compromise uit.
  • Malware vermoed of vastgesteld → voer gelijktijdig PB-003: Endpoint-malware-infectie uit.
  • Privilege escalation vermoed of vastgesteld → voer gelijktijdig PB-009: Privilege Escalation uit.
  • Lateral movement vermoed of vastgesteld → voer gelijktijdig PB-010: Lateral Movement uit.

6. Containment, eradication & recovery

• Containment-acties:

  • Beperk blootgestelde of overbodige accounts van derden, gedelegeerde rollen, service accounts, OAuth-apps, API-sleutels, tokens, VPN-toegang, tooling voor ondersteuning op afstand en integraties.
    • 📘 RB-CONTAIN-008: Beperken van toegang van derden
  • Blokkeer gecompromitteerde accounts en trek blootgestelde sessies of tokens in.
    • 📘 RB-CONTAIN-001: Account blokkeren
    • 📘 RB-CONTAIN-005: Intrekken van sessies & tokens
  • Blokkeer uitgaande overdrachten, infrastructuur van de aanvaller of kwaadaardige updatepaden als actief misbruik wordt waargenomen.
    • 📘 RB-CONTAIN-007: Blokkeren van uitgaande overdracht
  • Beperk de blootstelling van getroffen software, appliances, integraties of publieke diensten van derden.
    • 📘 RB-CONTAIN-014: Beperken van blootstelling aan een kwetsbaarheid

• Eradication-stappen:

  • Verwijder verouderde leveranciersaccounts, ongebruikte integraties, blootgestelde secrets, rollen met te ruime rechten en niet-vertrouwde packages.
  • Roteer credentials, API-sleutels, certificaten, secrets van service accounts, signing keys, webhook-secrets en tokens.
  • Patch, upgrade, herinstalleer of vervang getroffen software en dependencies van derden.

• Recovery-stappen:

  • Herstel de toegang van de derde partij pas nadat het herstel is gevalideerd, de blootstelling is opgelost, credentials zijn geroteerd en monitoring actief is.
    • 📘 RB-RECOVERY-005: Herstel van vertrouwen in een derde partij
  • Valideer de zakelijke functionaliteit na het herstellen van goedgekeurde integraties.
  • Monitor op vertraagde activiteit, hergebruik van credentials, kwaadaardige updates, misbruik van API's en afwijkende activiteit van leveranciersaccounts.

  Beslispunt: Herstel het vertrouwen niet omdat de leverancier zegt dat het incident gesloten is. Herstel pas nadat de interne blootstelling is beoordeeld, er voldoende bewijs van herstel is en de zakelijke eigenaren het resterende risico hebben geaccepteerd.

7. Communicatie & escalatie

• Interne communicatie:

  • Informeer de securityleiding, eigenaren van leveranciers, service-eigenaren, identity- en platformteams, vendor risk en getroffen stakeholders.
  • Gebruik de overdracht tussen regio's als het incident meerdere diensten beslaat.
    • 📘 SOP-002: Incidentoverdracht tussen regio's
  • Informeer getroffen gebruikers als credentials, MFA, toegang, de staat van apparaten of beschikbaarheid worden geraakt.
    • 📘 SOP-004: Gebruikersnotificatie tijdens een security-incident

• Externe communicatie:

  • Schakel Legal/Privacy in voor besluiten over communicatie op grond van contracten en met klanten, toezichthouders, partners, politie/justitie en de directie.
    • 📘 SOP-003: Escalatie en communicatie met Legal en directie
  • Laat communicatie met de leverancier lopen via de Incident Commander, de eigenaar van de leverancier, Legal en de Communications Lead.
    • 📘 SOP-005: Communicatie met leveranciers tijdens een security-incident

• Escalatiecriteria:

  Situatie	Escaleren naar
  Compromittering van een account of misbruik van credentials vermoed of vastgesteld	PB-004: Account Takeover
  Blootstelling, staging of exfiltratie van data vermoed of vastgesteld	PB-005: Data-exfiltratie
  Cloud compromise vermoed of vastgesteld	PB-007: Cloud Compromise
  Malware vermoed of vastgesteld	PB-003: Endpoint-malware-infectie
  Privilege escalation vermoed of vastgesteld	PB-009: Privilege Escalation
  Lateral movement vermoed of vastgesteld	PB-010: Lateral Movement
  Wijdverspreide supply chain-compromittering, compromittering van een kritieke provider of grote bedrijfsimpact	PB-019: Management van een major security incident

8. Post-incidentactiviteiten

• Lessons learned:

  • Houd een PIR over de afhandeling van de melding, de blootstelling, integraties, toegangsbeperkingen, het herstel van vertrouwen, communicatie en hiaten in het bewijsmateriaal.
  • Beoordeel het leveranciersrisico, contractuele eisen, de frequentie van access reviews, monitoring, de inventaris van integraties en het beheer van dependencies.

• Documentatie bijwerken:

  • Werk dit playbook, de leveranciersinventaris, de inventaris van integraties, procedures voor access reviews, detecties en criteria voor het herstel van vertrouwen bij.

9. Referenties & gekoppelde bronnen

• Playbooks:

  • PB-003: Endpoint-malware-infectie
  • PB-004: Account Takeover
  • PB-005: Data-exfiltratie
  • PB-007: Cloud Compromise
  • PB-009: Privilege Escalation
  • PB-010: Lateral Movement
  • PB-019: Management van een major security incident

• Runbooks:

  • RB-TRIAGE-004: Validatie van een melding van een derde partij
  • RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
  • RB-EVIDENCE-004: Acquisitie van control plane-logs in de cloud
  • RB-ANALYSIS-007: Analyse van authenticatielogs
  • RB-ANALYSIS-009: Beoordeling van geprivilegieerde toegang
  • RB-ANALYSIS-011: Aanvullende gecompromitteerde accounts vaststellen
  • RB-ANALYSIS-020: Review van cloudopslag & SaaS
  • RB-ANALYSIS-021: Beoordeling van de impact op gevoelige data
  • RB-ANALYSIS-027: Beoordeling van blootstelling bij een derde partij
  • RB-ANALYSIS-028: Analyse van de impact op de supply chain
  • RB-CONTAIN-001: Account blokkeren
  • RB-CONTAIN-005: Intrekken van sessies & tokens
  • RB-CONTAIN-007: Blokkeren van uitgaande overdracht
  • RB-CONTAIN-008: Beperken van toegang van derden
  • RB-CONTAIN-014: Beperken van blootstelling aan een kwetsbaarheid
  • RB-RECOVERY-005: Herstel van vertrouwen in een derde partij

• SOP's:

  • SOP-001: On-call van een engineeringteam oproepen bij security-incidenten
  • SOP-002: Incidentoverdracht tussen regio's
  • SOP-003: Escalatie en communicatie met Legal en directie
  • SOP-004: Gebruikersnotificatie tijdens een security-incident
  • SOP-005: Communicatie met leveranciers tijdens een security-incident

10. Bijlagen

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.