PB-015: Actieve exploitatie

Documentbeheer

1. Doel & scope

• Doel:

  Een gestructureerde respons bieden bij bevestigde exploitatie van een kwetsbaarheid. Gebruik dit playbook om het bewijs van exploitatie te valideren, de getroffen assets in kaart te brengen, bewijsmateriaal veilig te stellen, de toegang van de aanvaller in te dammen, persistence te verwijderen en de recovery te coördineren.

• Scope:

  Van toepassing als exploitatie is bevestigd van systemen, applicaties, endpoints, cloud-workloads, SaaS-platforms, netwerkdiensten, blootgestelde infrastructuur of door derden beheerde omgevingen van de organisatie.

2. Incidentidentificatie & criteria

Type incident: Actieve exploitatie

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

• Geslaagde exploitatie is bevestigd door telemetrie, forensisch bewijs, een melding van de leverancier of validatie door een responder
• Exploitatie leidt tot code-uitvoering, het plaatsen van een web shell, toegang tot credentials, persistence, toegang tot data, privilege escalation of lateral movement
• Activiteit van een threat actor wordt waargenomen op een asset met een bekende kwetsbaarheid of misconfiguratie
• Actieve exploitatie wordt bevestigd na triage in het kader van vulnerability response of zero-day response

Severity-niveaus:

3. Rollen & verantwoordelijkheden

• Incident Commander: Stelt de severity vast, coördineert de respons, keurt containment goed en is eigenaar van escalatiebesluiten.
• Technical Lead: Stuurt onderzoek, containment, eradication en recovery over de betrokken teams heen.
• Incident responder / Forensic Analyst: Valideert de exploitatie, stelt bewijsmateriaal veilig, brengt getroffen assets in kaart en analyseert de activiteit van de aanvaller.
• Communications Lead: Coördineert communicatie intern en met directie, Legal, klanten, leveranciers en stakeholders.
• Overige rollen:
  • Vulnerability management-team: Bevestigt de details van de kwetsbaarheid, getroffen versies, herstelopties en de patchstatus.
  • Systeem- / applicatie-eigenaren: Ondersteunen bij validatie van assets, analyse van de impact op diensten, containment, patchen en recovery.
  • Cloud-/netwerk-/platformteams: Ondersteunen bij containment van infrastructuur, logging, segmentatie en afstemming met providers.
  • Legal / Compliance: Beoordeelt verplichtingen tegenover klanten, uit regelgeving en contracten, of richting politie/justitie.

4. Eerste acties

• Directe stappen:

  • Valideer dat de exploitatie geslaagd is en niet alleen is geprobeerd.
    • 📘 RB-TRIAGE-007: Validatie van actieve exploitatie
  • Voer waar van toepassing triage uit op bijbehorende alerts van endpoint, identity, cloud of web.
    • 📘 RB-TRIAGE-002: Triage van EDR-alerts
    • 📘 RB-TRIAGE-003: Triage van identity-alerts
    • 📘 RB-TRIAGE-011: Triage van alerts van het cloudplatform
    • 📘 RB-TRIAGE-012: Triage van een aanval op een webapplicatie
  • Stel het getroffen asset, de kwetsbaarheid, het exploitatiepad, het eerste waargenomen tijdstip vast en of de exploitatie nog gaande is.
  • Stel bewijsmateriaal veilig vóór ontwrichtende containment, waar dat veilig kan.
  • Schakel de IR-leiding, systeemeigenaren, applicatie-eigenaren, platformteams en vulnerability management in.
    • 📘 SOP-001: On-call van een engineeringteam oproepen bij security-incidenten

  Beslispunt:

  • Exploitatie niet bevestigd → ga verder onder PB-017: Vulnerability Response of PB-018: Zero-Day Response, al naargelang.
  • Exploitatie bevestigd → ga door met dit playbook en begin met het plannen van de containment.
  • Aanvaller is nog actief → dam de getroffen toegangspaden in, parallel aan het veiligstellen van bewijsmateriaal.

5. Onderzoek & analyse

Veelgemaakte fouten:

• Een exploitatiepoging zonder bewijs behandelen als bevestigde exploitatie
• Containment uitvoeren vóór het veiligstellen van vluchtig bewijsmateriaal terwijl veilig bewaren mogelijk was
• Alleen op patchen focussen en persistence of vervolgactiviteit van de aanvaller missen
• Aanvullende getroffen assets niet in kaart brengen
• Systemen herstellen voordat is gevalideerd dat het exploitatiepad is gesloten

• Verzamelen van bewijsmateriaal:

  • Verzamel telemetrie van host, processen, command lines, bestanden, persistence en endpoint voor de getroffen systemen.
    • 📘 RB-EVIDENCE-002: Acquisitie van host-logs
  • Verzamel telemetrie van identity, authenticatie, MFA, sessies en geprivilegieerde toegang.
    • 📘 RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
  • Verzamel waar relevant logs van de cloud control plane, snapshots van workloads of webapplicatielogs.
    • 📘 RB-EVIDENCE-004: Acquisitie van control plane-logs in de cloud
    • 📘 RB-EVIDENCE-005: Snapshot-acquisitie van cloud-workloads
    • 📘 RB-EVIDENCE-006: Acquisitie van webapplicatielogs

• Analysestappen:

  • Analyseer de tijdlijn van de exploitatie, de aanvalsvector, payloads, acties van de aanvaller en gedrag na de exploitatie.
    • 📘 RB-ANALYSIS-034: Analyse van exploitatieactiviteit
  • Stel de eerste en aanvullende getroffen assets vast.
    • 📘 RB-ANALYSIS-035: Getroffen assets vaststellen
  • Verifieer welke kwetsbaarheid is misbruikt, de getroffen versies, het blootstellingspad en of de exploitatie herhaalbaar is.
    • 📘 RB-ANALYSIS-041: Verificatie van exploitatie
  • Analyseer waar van toepassing procesbomen, commando's, scripts, LOLBins, malware, persistence en uitgaand verkeer.
    • 📘 RB-ANALYSIS-006: Analyse van de procesboom
    • 📘 RB-ANALYSIS-023: Commandoregelanalyse
    • 📘 RB-ANALYSIS-024: Onderzoek naar misbruik van LOLBins
    • 📘 RB-ANALYSIS-025: Analyse van scriptuitvoering
    • 📘 RB-ANALYSIS-014: Hunt op persistence-mechanismen van malware
    • 📘 RB-ANALYSIS-015: Malware-analyse
    • 📘 RB-ANALYSIS-018: Analyse van uitgaand verkeer
  • Beoordeel of gevoelige data is ingezien, klaargezet of geëxfiltreerd.
    • 📘 RB-ANALYSIS-019: Onderzoek naar data staging
    • 📘 RB-ANALYSIS-021: Beoordeling van de impact op gevoelige data

  Beslispunt: Voer, afhankelijk van wat is waargenomen, de fasen na detectie (analyse → recovery) van elk relevant verwant playbook gelijktijdig met dit playbook uit:

  • Malware of verdachte uitvoering vastgesteld → voer gelijktijdig PB-003: Endpoint-malware-infectie of PB-011: Verdachte uitvoering uit.
  • Compromittering van een account of misbruik van credentials vastgesteld → voer gelijktijdig PB-004: Account Takeover uit.
  • Blootstelling, staging of exfiltratie van data vastgesteld → voer gelijktijdig PB-005: Data-exfiltratie uit.
  • Cloud compromise vastgesteld → voer gelijktijdig PB-007: Cloud Compromise uit.
  • Compromittering van een webapplicatie vastgesteld → voer gelijktijdig PB-008: Aanval op een webapplicatie uit.
  • Privilege escalation vastgesteld → voer gelijktijdig PB-009: Privilege Escalation uit.
  • Lateral movement vastgesteld → voer gelijktijdig PB-010: Lateral Movement uit.
  • Exploitatie is wijdverspreid of bedrijfskritiek → voer gelijktijdig PB-019: Management van een major security incident uit.

6. Containment, eradication & recovery

• Containment-acties:

  • Beperk of blokkeer exploitatiepaden met maatregelen op netwerk, applicatie, cloud, toegang en blootstelling.
    • 📘 RB-CONTAIN-012: Containment van het exploitatie-oppervlak
  • Isoleer getroffen hosts, workloads of applicatietoegang als compromittering is bevestigd of de integriteit onzeker is.
    • 📘 RB-CONTAIN-004: Host-isolatie
    • 📘 RB-CONTAIN-015: Isolatie van cloud-workloads
    • 📘 RB-CONTAIN-016: Beperken van toegang tot een webapplicatie
  • Blokkeer gecompromitteerde accounts en trek sessies en tokens in als misbruik van identiteiten wordt vermoed.
    • 📘 RB-CONTAIN-001: Account blokkeren
    • 📘 RB-CONTAIN-005: Intrekken van sessies & tokens
  • Pas maatregelen toe om de blootstelling te beperken als de misbruikte zwakte nog aanwezig is.
    • 📘 RB-CONTAIN-014: Beperken van blootstelling aan een kwetsbaarheid

• Eradication-stappen:

  • Verwijder web shells, malware, persistence, ongeautoriseerde accounts, tooling van de aanvaller, gewijzigde bestanden, blootgestelde secrets en backdoors.
  • Patch, herconfigureer, schakel uit of vervang kwetsbare componenten zodra de containment stabiel is.
  • Roteer credentials, sleutels, certificaten en tokens die door de exploitatie zijn blootgesteld.

• Recovery-stappen:

  • Bouw gecompromitteerde systemen opnieuw op of herstel ze als de integriteit niet te valideren is.
    • 📘 RB-RECOVERY-002: Schone herinstallatie van systemen
  • Coördineer een gefaseerd herstel van getroffen diensten en afhankelijkheden.
    • 📘 RB-RECOVERY-001: Coördinatie van recovery & herstel
  • Valideer het herstel en bevestig dat de misbruikte kwetsbaarheid niet meer te misbruiken is.
    • 📘 RB-RECOVERY-007: Validatie van het verhelpen van een kwetsbaarheid

7. Communicatie & escalatie

• Interne communicatie:

  • Informeer de securityleiding, vulnerability management, systeemeigenaren, applicatie-eigenaren, platformeigenaren en getroffen bedrijfsteams.
  • Gebruik de overdracht tussen regio's als het incident meerdere diensten beslaat.
    • 📘 SOP-002: Incidentoverdracht tussen regio's

• Externe communicatie:

  • Stem communicatie met klanten, toezichthouders, Legal, directie, leveranciers, providers en politie/justitie af via de goedgekeurde processen.
    • 📘 SOP-003: Escalatie en communicatie met Legal en directie
    • 📘 SOP-005: Communicatie met leveranciers tijdens een security-incident

• Escalatiecriteria:

  Situatie	Escaleren naar
  Malware of verdachte uitvoering vastgesteld	PB-003: Endpoint-malware-infectie / PB-011: Verdachte uitvoering
  Compromittering van een account of misbruik van credentials vastgesteld	PB-004: Account Takeover
  Blootstelling, staging of exfiltratie van data vastgesteld	PB-005: Data-exfiltratie
  Cloud compromise vastgesteld	PB-007: Cloud Compromise
  Compromittering van een webapplicatie vastgesteld	PB-008: Aanval op een webapplicatie
  Privilege escalation vastgesteld	PB-009: Privilege Escalation
  Lateral movement vastgesteld	PB-010: Lateral Movement
  Wijdverspreide exploitatie of grote bedrijfsimpact	PB-019: Management van een major security incident

8. Post-incidentactiviteiten

• Lessons learned:

  • Houd een PIR over de blootstelling aan de kwetsbaarheid, het moment van detectie, de acties van de aanvaller, de snelheid van de containment, de kwaliteit van het herstel en besluiten over de recovery.
  • Beoordeel hiaten in patchmanagement, exposure management, de dekking van de detectie, logging, segmentatie en de assetinventaris.

• Documentatie bijwerken:

  • Werk detecties, de inventaris van kwetsbare assets, herstelregistraties, runbooks en dit playbook bij op basis van de lessons learned.

9. Referenties & gekoppelde bronnen

• Playbooks:

  • PB-003: Endpoint-malware-infectie
  • PB-004: Account Takeover
  • PB-005: Data-exfiltratie
  • PB-007: Cloud Compromise
  • PB-008: Aanval op een webapplicatie
  • PB-009: Privilege Escalation
  • PB-010: Lateral Movement
  • PB-011: Verdachte uitvoering
  • PB-017: Vulnerability Response
  • PB-018: Zero-Day Response
  • PB-019: Management van een major security incident

• Runbooks:

  • RB-TRIAGE-002: Triage van EDR-alerts
  • RB-TRIAGE-003: Triage van identity-alerts
  • RB-TRIAGE-007: Validatie van actieve exploitatie
  • RB-TRIAGE-011: Triage van alerts van het cloudplatform
  • RB-TRIAGE-012: Triage van een aanval op een webapplicatie
  • RB-EVIDENCE-002: Acquisitie van host-logs
  • RB-EVIDENCE-003: Acquisitie van identity- en authenticatielogs
  • RB-EVIDENCE-004: Acquisitie van control plane-logs in de cloud
  • RB-EVIDENCE-005: Snapshot-acquisitie van cloud-workloads
  • RB-EVIDENCE-006: Acquisitie van webapplicatielogs
  • RB-ANALYSIS-006: Analyse van de procesboom
  • RB-ANALYSIS-014: Hunt op persistence-mechanismen van malware
  • RB-ANALYSIS-015: Malware-analyse
  • RB-ANALYSIS-018: Analyse van uitgaand verkeer
  • RB-ANALYSIS-019: Onderzoek naar data staging
  • RB-ANALYSIS-021: Beoordeling van de impact op gevoelige data
  • RB-ANALYSIS-023: Commandoregelanalyse
  • RB-ANALYSIS-024: Onderzoek naar misbruik van LOLBins
  • RB-ANALYSIS-025: Analyse van scriptuitvoering
  • RB-ANALYSIS-034: Analyse van exploitatieactiviteit
  • RB-ANALYSIS-035: Getroffen assets vaststellen
  • RB-ANALYSIS-041: Verificatie van exploitatie
  • RB-CONTAIN-001: Account blokkeren
  • RB-CONTAIN-004: Host-isolatie
  • RB-CONTAIN-005: Intrekken van sessies & tokens
  • RB-CONTAIN-012: Containment van het exploitatie-oppervlak
  • RB-CONTAIN-014: Beperken van blootstelling aan een kwetsbaarheid
  • RB-CONTAIN-015: Isolatie van cloud-workloads
  • RB-CONTAIN-016: Beperken van toegang tot een webapplicatie
  • RB-RECOVERY-001: Coördinatie van recovery & herstel
  • RB-RECOVERY-002: Schone herinstallatie van systemen
  • RB-RECOVERY-007: Validatie van het verhelpen van een kwetsbaarheid

• SOP's:

  • SOP-001: On-call van een engineeringteam oproepen bij security-incidenten
  • SOP-002: Incidentoverdracht tussen regio's
  • SOP-003: Escalatie en communicatie met Legal en directie
  • SOP-005: Communicatie met leveranciers tijdens een security-incident

10. Bijlagen

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.