PB-017: Vulnerability Response

Documentbeheer

1. Doel & scope

• Doel:

  Een gestructureerde respons bieden bij kritieke of risicovolle kwetsbaarheden waarvoor herstel, containment en validatie nodig zijn. Gebruik dit playbook om de kwetsbaarheid te valideren, blootgestelde assets vast te stellen, het risico te verlagen, patches of configuratiewijzigingen te coördineren en het herstel te bevestigen.

• Scope:

  Van toepassing op bevestigde kwetsbaarheden in applicaties, infrastructuur, endpoints, clouddiensten, netwerkdiensten, SaaS-platforms, appliances, software van derden of managed services van de organisatie. Is exploitatie bevestigd, start dan PB-015.

2. Incidentidentificatie & criteria

Type incident: Vulnerability Response

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

• Een kritieke of risicovolle kwetsbaarheid raakt assets van de organisatie
• Een advisory van een leverancier, CVE, scannerbevinding, pentest, melding van een onderzoeker of threat intelligence wijst op een dringende noodzaak tot herstel
• De kwetsbaarheid heeft een bekend exploitatierisico, publieke exploitcode, blootstelling aan internet of impact op gevoelige systemen
• Zero-day response gaat over in herstel nadat een patch of duurzame oplossing beschikbaar is gekomen

Severity-niveaus:

3. Rollen & verantwoordelijkheden

• Incident Commander: Stelt de severity vast, coördineert de respons, keurt afwegingen rond containment goed en is eigenaar van escalatiebesluiten.
• Vulnerability Management Lead: Bevestigt de details van de kwetsbaarheid, getroffen versies, blootstelling, herstelopties en de voortgangsbewaking van het herstel.
• Technical Lead: Coördineert containment, patchen, configuratiewijzigingen, testen en validatie.
• Communications Lead: Coördineert de communicatie met stakeholders, directie, leveranciers, klanten en Legal.
• Overige rollen:
  • Systeem- / applicatie-eigenaren: Patchen, configureren, testen en valideren de getroffen diensten.
  • Cloud-/netwerk-/platformteams: Passen infrastructuurmaatregelen, segmentatie, toegangsbeperkingen en mitigaties van providers toe.
  • Legal / Compliance: Beoordeelt verplichtingen tegenover klanten, uit contracten en regelgeving, en rond openbaarmaking.

4. Eerste acties

• Directe stappen:

  • Valideer de kwetsbaarheid, het getroffen product en de versie, de severity, de exploiteerbaarheid en de bron van de melding.
    • 📘 RB-TRIAGE-009: Validatie van een kwetsbaarheid
  • Stel vast of er al exploitatie wordt vermoed of is bevestigd.
    • 📘 RB-ANALYSIS-041: Verificatie van exploitatie
  • Stel de asseteigenaar, de zakelijke eigenaar, de eigenaar van het herstel en de vereiste responstermijn vast.
  • Schakel vulnerability management, systeem- en applicatie-eigenaren, platformteams en de IR-leiding in.
    • 📘 SOP-001: On-call van een engineeringteam oproepen bij security-incidenten

  Beslispunt:

  • Exploitatie bevestigd → voer direct PB-015: Actieve exploitatie uit.
  • Er is geen patch of duurzame oplossing → voer PB-018: Zero-Day Response uit.
  • Er is een patch, upgrade, configuratiefix of duurzame mitigatie → ga door met dit playbook.

5. Onderzoek & analyse

Veelgemaakte fouten:

• De vulnerability response als afgerond beschouwen vóór de validatie
• Schaduw-assets, cloud-assets, door derden beheerde systemen of niet-ondersteunde versies over het hoofd zien
• De exploitatiestatus niet verifiëren
• Compenserende maatregelen verwijderen voordat duurzaam herstel is bevestigd
• Uitzonderingen laten bestaan zonder eigenaar of einddatum

• Verzamelen van bewijsmateriaal:

  • Verzamel scanresultaten, advisories van leveranciers, getroffen versies, de assetinventaris, blootstellingsgegevens, compenserende maatregelen en de herstelstatus.
  • Bewaar relevante security-telemetrie als tijdens de respons exploitatie wordt vermoed.

• Analysestappen:

  • Beoordeel de voorwaarden voor blootstelling, getroffen aanvalspaden, bereikbaarheid, bedrijfskritiek en mogelijke impact.
    • 📘 RB-ANALYSIS-039: Beoordeling van blootstelling aan een kwetsbaarheid
  • Stel alle kwetsbare assets, eigenaren, versies, omgevingen en herstelgroepen vast.
    • 📘 RB-ANALYSIS-040: Kwetsbare assets vaststellen
  • Beoordeel de kans op exploitatie, de beschikbaarheid van publieke exploits, actieve campagnes en informatie van leveranciers en threat intelligence.
    • 📘 RB-ANALYSIS-042: Threat intelligence-beoordeling van een kwetsbaarheid
  • Verifieer of er exploitatie heeft plaatsgevonden vóór de start van het herstel of tijdens het herstel.
    • 📘 RB-ANALYSIS-041: Verificatie van exploitatie

  Beslispunt: Voer, afhankelijk van wat is waargenomen, de fasen na detectie (analyse → recovery) van elk relevant verwant playbook gelijktijdig met dit playbook uit:

  • Exploitatie bevestigd → voer gelijktijdig PB-015: Actieve exploitatie uit.
  • Malware of verdachte uitvoering vastgesteld → voer gelijktijdig PB-003: Endpoint-malware-infectie of PB-011: Verdachte uitvoering uit.
  • Compromittering van een account of misbruik van credentials vastgesteld → voer gelijktijdig PB-004: Account Takeover uit.
  • Blootstelling, staging of exfiltratie van data vastgesteld → voer gelijktijdig PB-005: Data-exfiltratie uit.
  • Cloud compromise vastgesteld → voer gelijktijdig PB-007: Cloud Compromise uit.
  • Compromittering van een webapplicatie vastgesteld → voer gelijktijdig PB-008: Aanval op een webapplicatie uit.
  • Geen patch beschikbaar → voer gelijktijdig PB-018: Zero-Day Response uit.

6. Containment, eradication & recovery

• Containment-acties:

  • Beperk de blootstelling met netwerkbeperkingen, toegangscontroles, WAF-regels, het uitschakelen van functies, configuratiewijzigingen, segmentatie of isolatie van de dienst.
    • 📘 RB-CONTAIN-014: Beperken van blootstelling aan een kwetsbaarheid
  • Pas containment van het exploitatiepad toe als de kwetsbaarheid actief wordt aangevallen of een hoog risico heeft.
    • 📘 RB-CONTAIN-012: Containment van het exploitatie-oppervlak

• Eradication-stappen:

  • Patch, upgrade, herconfigureer, schakel uit, vervang of verwijder kwetsbare componenten volgens het goedgekeurde herstelplan.
  • Roteer blootgestelde secrets of credentials als de kwetsbaarheid gevoelig materiaal kan prijsgeven.
  • Verwijder tijdelijke workarounds pas nadat het permanente herstel is gevalideerd.

• Recovery-stappen:

  • Valideer de uitrol van patches, configuratiewijzigingen, scanresultaten, de beperking van de blootstelling en de werking van de dienst.
    • 📘 RB-RECOVERY-007: Validatie van het verhelpen van een kwetsbaarheid
  • Bevestig dat het restrisico, geaccepteerde uitzonderingen en openstaande herstelpunten tot aan de afsluiting worden gevolgd.

7. Communicatie & escalatie

• Interne communicatie:

  • Informeer de securityleiding, vulnerability management, systeem- en applicatie-eigenaren, platformeigenaren en getroffen zakelijke stakeholders.
  • Gebruik de overdracht tussen regio's als het herstel meerdere diensten beslaat.
    • 📘 SOP-002: Incidentoverdracht tussen regio's

• Externe communicatie:

  • Stem communicatie met leveranciers, klanten, toezichthouders, directie en Legal af via de goedgekeurde processen.
    • 📘 SOP-003: Escalatie en communicatie met Legal en directie
    • 📘 SOP-005: Communicatie met leveranciers tijdens een security-incident

• Escalatiecriteria:

  Situatie	Escaleren naar
  Exploitatie bevestigd	PB-015: Actieve exploitatie
  Geen patch of duurzame oplossing beschikbaar	PB-018: Zero-Day Response
  Malware of verdachte uitvoering vastgesteld	PB-003: Endpoint-malware-infectie / PB-011: Verdachte uitvoering
  Compromittering van een account of misbruik van credentials vastgesteld	PB-004: Account Takeover
  Blootstelling, staging of exfiltratie van data vastgesteld	PB-005: Data-exfiltratie
  Cloud compromise vastgesteld	PB-007: Cloud Compromise
  Compromittering van een webapplicatie vastgesteld	PB-008: Aanval op een webapplicatie
  Wijdverspreid risico of grote bedrijfsimpact	PB-019: Management van een major security incident

8. Post-incidentactiviteiten

• Lessons learned:

  • Houd een PIR over de detectiebron, de blootstelling, de kwaliteit van de assetinventaris, de snelheid van het herstel, de omgang met uitzonderingen en de kwaliteit van de validatie.
  • Beoordeel vulnerability management, patch-SLA's, compenserende maatregelen, de dekking van scanners en hiaten in eigenaarschap.

• Documentatie bijwerken:

  • Werk registraties van kwetsbaarheden, de assetinventaris, de voortgangsbewaking van herstel, detecties, runbooks en dit playbook bij op basis van de lessons learned.

9. Referenties & gekoppelde bronnen

• Playbooks:

  • PB-003: Endpoint-malware-infectie
  • PB-004: Account Takeover
  • PB-005: Data-exfiltratie
  • PB-007: Cloud Compromise
  • PB-008: Aanval op een webapplicatie
  • PB-011: Verdachte uitvoering
  • PB-015: Actieve exploitatie
  • PB-018: Zero-Day Response
  • PB-019: Management van een major security incident

• Runbooks:

  • RB-TRIAGE-009: Validatie van een kwetsbaarheid
  • RB-ANALYSIS-039: Beoordeling van blootstelling aan een kwetsbaarheid
  • RB-ANALYSIS-040: Kwetsbare assets vaststellen
  • RB-ANALYSIS-041: Verificatie van exploitatie
  • RB-ANALYSIS-042: Threat intelligence-beoordeling van een kwetsbaarheid
  • RB-CONTAIN-012: Containment van het exploitatie-oppervlak
  • RB-CONTAIN-014: Beperken van blootstelling aan een kwetsbaarheid
  • RB-RECOVERY-007: Validatie van het verhelpen van een kwetsbaarheid

• SOP's:

  • SOP-001: On-call van een engineeringteam oproepen bij security-incidenten
  • SOP-002: Incidentoverdracht tussen regio's
  • SOP-003: Escalatie en communicatie met Legal en directie
  • SOP-005: Communicatie met leveranciers tijdens een security-incident

10. Bijlagen

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.