PB-014: Verloren & gestolen apparaat

Documentbeheer

1. Doel & scope

• Doel:

  Een gestructureerde respons bieden bij verloren, zoekgeraakte of gestolen apparaten van de organisatie. Gebruik dit playbook om de melding te valideren, de blootstelling van apparaat en data te beoordelen, toegang in te dammen, het terugvinden of vervangen van het apparaat te coördineren en de gebruiker veilig te herstellen.

• Scope:

  Van toepassing op laptops, desktops, mobiele telefoons, tablets, verwisselbare media en andere endpoints die eigendom zijn van of beheerd worden door de organisatie en die data van de organisatie kunnen bevatten of toegang tot haar systemen kunnen geven.

2. Incidentidentificatie & criteria

Type incident: Verloren & gestolen apparaat

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

• Een gebruiker, leidinggevende, fysieke beveiliging, assetmanagement of de politie meldt een verloren of gestolen apparaat van de organisatie
• Een beheerd apparaat meldt een onverwachte locatie, manipulatie, jailbreak/rooting of verdachte check-in-activiteit
• Een apparaat met data, credentials, certificaten of geprivilegieerde toegang van de organisatie is onvindbaar
• Een teruggevonden apparaat vertoont tekenen van ongeautoriseerde toegang, manipulatie, malware of omzeiling van beleid

Severity-niveaus:

3. Rollen & verantwoordelijkheden

• Incident Commander: Stelt de severity vast, coördineert de respons, keurt containment goed en is eigenaar van escalatiebesluiten.
• Incident responder / Forensic Analyst: Valideert de melding, beoordeelt de blootstelling, reviewt activiteit en stelt bewijsmateriaal veilig.
• Communications Lead: Coördineert communicatie met de getroffen gebruiker, het management, Legal en stakeholders.
• Overige rollen:
  • Endpoint-/MDM-team: Bevestigt de staat van het apparaat en voert vergrendeling, wissen of het verwijderen van toegang op afstand uit.
  • Identity & Access-team: Blokkeert accounts, trekt sessies in, reset credentials en valideert veilig herstel van toegang.
  • Fysieke beveiliging / assetmanagement: Ondersteunt bij aangifte, het volgen van assets, terugvinden, chain of custody en vervanging.
  • Legal / Compliance: Beoordeelt blootstelling van gevoelige data, afstemming met politie/justitie, verplichtingen uit regelgeving en impact op klanten.
  • Leidinggevende van de gebruiker: Ondersteunt bij verificatie van de medewerker, bedrijfscontinuïteit en de coördinatie van een vervangend apparaat.

4. Eerste acties

• Directe stappen:

  • Verifieer de medewerker en verzamel de details van de melding voordat je ingrijpende wijzigingen aan toegang of apparaat doorvoert.
    • 📘 SOP-006: Verificatie van medewerkers tijdens een security-incident
  • Valideer het eigendom van het apparaat, de toegewezen gebruiker, het type apparaat, het asset-ID, de laatst bekende locatie, het tijdstip waarop het laatst is gezien en de omstandigheden van verlies of diefstal.
    • 📘 RB-TRIAGE-006: Validatie van een verloren of gestolen apparaat
  • Maak het incidentrecord aan en bewaar de beschikbare telemetrie van MDM, EDR, IdP, VPN, SIEM en de assetinventaris.
  • Informeer zo nodig de Incident Commander, het endpoint-/MDM-team, het identityteam, assetmanagement en fysieke beveiliging.
    • 📘 SOP-001: On-call van een engineeringteam oproepen bij security-incidenten

  Beslispunt:

  • Het apparaat is snel teruggevonden en er is geen blootstelling vastgesteld → leg het bewijs vast en sluit af of verlaag de severity.
  • Het apparaat blijft vermist, is gestolen, gemanipuleerd of niet te vertrouwen → ga door met onderzoek en containment.
  • Verdachte activiteit van account, apparaat of netwerk waargenomen → start parallel met containment.

5. Onderzoek & analyse

• Verzamelen van bewijsmateriaal:

  • Verzamel telemetrie van host, MDM, EDR, assetregistratie, locatie en endpoint voor het vermiste apparaat.
    • 📘 RB-EVIDENCE-002: Acquisitie van host-logs
  • Verzamel telemetrie van identity, authenticatie, VPN, sessies, MFA en device trust voor de toegewezen gebruiker.
    • 📘 RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
  • Documenteer de eigenaar van het apparaat, asset-ID's, de laatst bekende activiteit, securitymaatregelen, bereikbare data, credentials en containment-acties.

• Analysestappen:

  • Valideer apparaatbeheer, versleuteling, EDR, compliance, de mogelijkheid om op afstand te vergrendelen of te wissen en de status van de laatste check-in.
    • 📘 RB-ANALYSIS-032: Beoordeling van de security posture van een apparaat
  • Beoordeel de blootstelling van lokale data, gecachete data, gesynchroniseerde bestanden, credentials, certificaten, tokens en bedrijfsdata.
    • 📘 RB-ANALYSIS-033: Beoordeling van blootstelling van data op een apparaat
  • Review voor de toegewezen gebruiker de authenticatieactiviteit, MFA-gebeurtenissen, VPN-gebruik, device trust en geografische afwijkingen.
    • 📘 RB-ANALYSIS-007: Analyse van authenticatielogs
  • Review activiteit van gebruiker, endpoint, netwerk, bestandstoegang en authenticatie die met het vermiste apparaat samenhangt.
    • 📘 RB-ANALYSIS-026: Validatie van gebruikersactiviteit

  Beslispunt: Voer, afhankelijk van wat is waargenomen, de fasen na detectie (analyse → recovery) van elk relevant verwant playbook gelijktijdig met dit playbook uit:

  • Compromittering van een account of misbruik van credentials vermoed of vastgesteld → voer gelijktijdig PB-004: Account Takeover uit.
  • Blootstelling, staging of exfiltratie van data vermoed of vastgesteld → voer gelijktijdig PB-005: Data-exfiltratie uit.
  • Malware of verdachte uitvoering vermoed of vastgesteld → voer gelijktijdig PB-003: Endpoint-malware-infectie of PB-011: Verdachte uitvoering uit.
  • Privilege escalation vermoed of vastgesteld → voer gelijktijdig PB-009: Privilege Escalation uit.
  • Lateral movement vermoed of vastgesteld → voer gelijktijdig PB-010: Lateral Movement uit.
  • Gerichte diefstal, betrokkenheid van een insider of misbruik van fysieke toegang vermoed → voer gelijktijdig PB-006: Insider Threat uit.

6. Containment, eradication & recovery

• Containment-acties:

  • Blokkeer getroffen accounts, reset zo nodig credentials en trek actieve sessies, tokens, VPN-sessies en device trust in.
    • 📘 RB-CONTAIN-001: Account blokkeren
    • 📘 RB-CONTAIN-005: Intrekken van sessies & tokens
  • Vergrendel of wis het vermiste apparaat op afstand als dat is goedgekeurd en technisch mogelijk is.
    • 📘 RB-CONTAIN-011: Apparaat op afstand vergrendelen & wissen
  • Verwijder voor niet-vertrouwde apparaten de apparaatregistraties, certificaten, het vertrouwen in conditional access, toegang van managed apps en toegang voor endpointbeheer.

• Eradication-stappen:

  • Verwijder gecachete toegang, verouderde apparaatobjecten, certificaten, lokale beheerrechten en vertrouwensrelaties van het apparaat.
  • Roteer blootgestelde credentials, certificaten, tokens, API-sleutels of secrets die bij de analyse van de blootstelling zijn gevonden.
  • Behandel teruggevonden apparaten als niet-vertrouwd totdat ze zijn onderzocht, opnieuw geïnstalleerd of opnieuw ingeschreven volgens de endpointstandaarden.

• Recovery-stappen:

  • Verifieer de medewerker voordat je toegang herstelt, vervangende hardware uitgeeft of MFA opnieuw registreert.
    • 📘 SOP-006: Verificatie van medewerkers tijdens een security-incident
  • Herstel gebruikerstoegang pas als de containment is afgerond en de integriteit van account en apparaat is gevalideerd.
    • 📘 RB-RECOVERY-003: Herstel van gebruikers & toegang
  • Lever een vervangend apparaat, dwing de security-baseline af, valideer versleuteling/EDR/MDM en werk de assetinventaris bij.

7. Communicatie & escalatie

• Interne communicatie:

  • Informeer de securityleiding, het endpoint-/MDM-team, het identityteam, fysieke beveiliging, assetmanagement, de leidinggevende van de gebruiker en getroffen zakelijke stakeholders.
  • Informeer de getroffen gebruiker na verificatie over de vereiste acties.
    • 📘 SOP-004: Gebruikersnotificatie tijdens een security-incident
  • Gebruik de overdracht tussen regio's als het incident meerdere diensten beslaat.
    • 📘 SOP-002: Incidentoverdracht tussen regio's

• Externe communicatie:

  • Stem communicatie met Legal, politie/justitie, klanten, toezichthouders en de directie af via de goedgekeurde escalatieprocessen.
    • 📘 SOP-003: Escalatie en communicatie met Legal en directie

• Escalatiecriteria:

  Situatie	Escaleren naar
  Compromittering van een account of misbruik van credentials vermoed of vastgesteld	PB-004: Account Takeover
  Blootstelling, staging of exfiltratie van gevoelige data vermoed of vastgesteld	PB-005: Data-exfiltratie
  Malware of verdachte uitvoering vermoed of vastgesteld	PB-003: Endpoint-malware-infectie / PB-011: Verdachte uitvoering
  Privilege escalation vermoed of vastgesteld	PB-009: Privilege Escalation
  Lateral movement vermoed of vastgesteld	PB-010: Lateral Movement
  Gerichte diefstal, betrokkenheid van een insider of misbruik van fysieke toegang vermoed	PB-006: Insider Threat
  Grote impact op bedrijf of klanten, of blootstelling van gereguleerde data	PB-019: Management van een major security incident

8. Post-incidentactiviteiten

• Lessons learned:

  • Houd een PIR over de snelheid van melden, de verificatie van de medewerker, de staat van het apparaat, het moment van vergrendelen/wissen, de containment van toegang, de blootstelling van data, communicatie en de vervangingsworkflow.
  • Beoordeel apparaatversleuteling, de dekking van MDM/EDR, het volgen van assets, conditional access, de paraatheid voor wissen op afstand en de meldinstructies voor gebruikers.

• Documentatie bijwerken:

  • Werk de assetinventaris, de registratie van teruggevonden apparaten, procedures voor verloren apparaten, endpoint-baselines, detectie-inhoud en dit playbook zo nodig bij.

9. Referenties & gekoppelde bronnen

• Playbooks:

  • PB-003: Endpoint-malware-infectie
  • PB-004: Account Takeover
  • PB-005: Data-exfiltratie
  • PB-006: Insider Threat
  • PB-009: Privilege Escalation
  • PB-010: Lateral Movement
  • PB-011: Verdachte uitvoering
  • PB-019: Management van een major security incident

• Runbooks:

  • RB-TRIAGE-006: Validatie van een verloren of gestolen apparaat
  • RB-EVIDENCE-002: Acquisitie van host-logs
  • RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
  • RB-ANALYSIS-007: Analyse van authenticatielogs
  • RB-ANALYSIS-026: Validatie van gebruikersactiviteit
  • RB-ANALYSIS-032: Beoordeling van de security posture van een apparaat
  • RB-ANALYSIS-033: Beoordeling van blootstelling van data op een apparaat
  • RB-CONTAIN-001: Account blokkeren
  • RB-CONTAIN-005: Intrekken van sessies & tokens
  • RB-CONTAIN-011: Apparaat op afstand vergrendelen & wissen
  • RB-RECOVERY-003: Herstel van gebruikers & toegang

• SOP's:

  • SOP-001: On-call van een engineeringteam oproepen bij security-incidenten
  • SOP-002: Incidentoverdracht tussen regio's
  • SOP-003: Escalatie en communicatie met Legal en directie
  • SOP-004: Gebruikersnotificatie tijdens een security-incident
  • SOP-006: Verificatie van medewerkers tijdens een security-incident

10. Bijlagen

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.