PB-018: Zero-Day Response

Documentbeheer

1. Doel & scope

• Doel:

  Een gestructureerde respons bieden bij zero-day-kwetsbaarheden waarvoor geen patch van de leverancier of duurzame oplossing beschikbaar is. Gebruik dit playbook om de blootstelling te valideren, de exploiteerbaarheid te verlagen, te monitoren op exploitatie, de communicatie met de leverancier te coördineren en over te gaan op herstel zodra er een oplossing is.

• Scope:

  Van toepassing op net openbaar gemaakte of vertrouwelijk gemelde kwetsbaarheden in assets van de organisatie, als er een exploitatierisico is en geen patch, upgrade of duurzaam herstel beschikbaar is. Is exploitatie bevestigd, start dan PB-015.

2. Incidentidentificatie & criteria

Type incident: Zero-Day Response

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

• Een zero-day-kwetsbaarheid raakt technologie van de organisatie en er is geen patch of duurzame oplossing
• Een advisory van een leverancier, threat intelligence, melding van een onderzoeker of interne bevinding wijst op een risicovolle blootstelling zonder herstelmogelijkheid
• Er bestaan publieke exploitcode, actieve dreigingsactiviteit of noodmitigaties voordat een patch is uitgebracht
• Vulnerability response stelt vast dat op dit moment alleen tijdelijke containment of compenserende maatregelen mogelijk zijn

Severity-niveaus:

3. Rollen & verantwoordelijkheden

• Incident Commander: Stelt de severity vast, coördineert de respons, keurt afwegingen rond containment goed en is eigenaar van escalatiebesluiten.
• Vulnerability Management Lead: Volgt de status van advisories, de blootstelling, mitigaties, de beschikbaarheid van patches en de herstelplanning.
• Technical Lead: Coördineert compenserende maatregelen, monitoring, validatie en de overgang naar herstel.
• Communications Lead: Coördineert de communicatie intern en met directie, Legal, leveranciers, klanten en stakeholders.
• Overige rollen:
  • Systeem- / applicatie-eigenaren: Voeren mitigaties in, testen de impact op diensten en bereiden het patchen voor.
  • Cloud-/netwerk-/platformteams: Passen segmentatie, toegangsbeperkingen, WAF-/CDN-regels, maatregelen van providers en monitoring toe.
  • Legal / Compliance: Beoordeelt de gevolgen voor openbaarmaking, klanten, contracten, regelgeving en politie/justitie.

4. Eerste acties

• Directe stappen:

  • Valideer de kwetsbaarheid, het getroffen product en de versie, de voorwaarden voor blootstelling en het ontbreken van een patch of duurzame oplossing.
    • 📘 RB-TRIAGE-009: Validatie van een kwetsbaarheid
  • Beoordeel de richtlijnen van de leverancier, threat intelligence, de beschikbaarheid van exploits, actieve campagnes en noodmitigaties.
    • 📘 RB-ANALYSIS-042: Threat intelligence-beoordeling van een kwetsbaarheid
  • Stel asseteigenaren, zakelijke eigenaren, getroffen diensten en beslissers voor noodsituaties vast.
  • Neem contact op met de leverancier of provider als verduidelijking, mitigaties, tijdlijnen of ondersteuning nodig zijn.
    • 📘 SOP-005: Communicatie met leveranciers tijdens een security-incident
  • Schakel vulnerability management, platformeigenaren, systeem- en applicatie-eigenaren en de IR-leiding in.
    • 📘 SOP-001: On-call van een engineeringteam oproepen bij security-incidenten

  Beslispunt:

  • Exploitatie bevestigd → voer direct PB-015: Actieve exploitatie uit.
  • Er is een patch, upgrade of duurzame oplossing → voer PB-017: Vulnerability Response uit.
  • Er is geen patch of duurzame oplossing → ga door met dit playbook.

5. Onderzoek & analyse

Veelgemaakte fouten:

• Op een patch wachten terwijl blootgestelde systemen bereikbaar blijven
• Compenserende maatregelen behandelen als permanent herstel
• Niet monitoren op exploitatie zolang er geen patch is
• Blootstelling van cloud-, SaaS-, derde-partij- of niet-ondersteunde assets over het hoofd zien
• Niet overgaan op vulnerability response zodra er een oplossing beschikbaar is

• Verzamelen van bewijsmateriaal:

  • Verzamel advisories van leveranciers, threat intelligence, getroffen versies, blootstellingsgegevens, assetinventarissen, mitigaties en de dekking van de detectie.
  • Bewaar relevante telemetrie als exploitatie wordt vermoed.

• Analysestappen:

  • Beoordeel de voorwaarden voor blootstelling, getroffen aanvalspaden, bereikbaarheid, bedrijfskritiek en mogelijke impact.
    • 📘 RB-ANALYSIS-039: Beoordeling van blootstelling aan een kwetsbaarheid
  • Stel alle kwetsbare assets, eigenaren, versies, omgevingen en groepen voor compenserende maatregelen vast.
    • 📘 RB-ANALYSIS-040: Kwetsbare assets vaststellen
  • Verifieer of er exploitatie heeft plaatsgevonden of plaatsvindt.
    • 📘 RB-ANALYSIS-041: Verificatie van exploitatie
  • Monitor op indicatoren van exploitatie in de telemetrie van endpoint, identity, cloud, web, netwerk en applicaties.
    • 📘 RB-TRIAGE-002: Triage van EDR-alerts
    • 📘 RB-TRIAGE-003: Triage van identity-alerts
    • 📘 RB-TRIAGE-011: Triage van alerts van het cloudplatform
    • 📘 RB-TRIAGE-012: Triage van een aanval op een webapplicatie

  Beslispunt: Voer, afhankelijk van wat is waargenomen, de fasen na detectie (analyse → recovery) van elk relevant verwant playbook gelijktijdig met dit playbook uit:

  • Exploitatie bevestigd → voer gelijktijdig PB-015: Actieve exploitatie uit.
  • Er komt een patch of duurzame oplossing beschikbaar → ga over op PB-017: Vulnerability Response.
  • Malware of verdachte uitvoering vastgesteld → voer gelijktijdig PB-003: Endpoint-malware-infectie of PB-011: Verdachte uitvoering uit.
  • Compromittering van een account of misbruik van credentials vastgesteld → voer gelijktijdig PB-004: Account Takeover uit.
  • Blootstelling, staging of exfiltratie van data vastgesteld → voer gelijktijdig PB-005: Data-exfiltratie uit.
  • Cloud compromise vastgesteld → voer gelijktijdig PB-007: Cloud Compromise uit.
  • Compromittering van een webapplicatie vastgesteld → voer gelijktijdig PB-008: Aanval op een webapplicatie uit.

6. Containment, eradication & recovery

• Containment-acties:

  • Beperk de blootstelling met compenserende maatregelen zoals toegangsbeperkingen, segmentatie, WAF-regels, het uitschakelen van functies, het blokkeren van protocollen, configuratiewijzigingen of isolatie van de dienst.
    • 📘 RB-CONTAIN-014: Beperken van blootstelling aan een kwetsbaarheid
  • Pas containment van het exploitatiepad toe als threat intelligence wijst op actieve targeting of hoge exploiteerbaarheid.
    • 📘 RB-CONTAIN-012: Containment van het exploitatie-oppervlak
  • Beperk cloud-workloads of de toegang tot webapplicaties als getroffen assets niet veilig blootgesteld kunnen worden.
    • 📘 RB-CONTAIN-015: Isolatie van cloud-workloads
    • 📘 RB-CONTAIN-016: Beperken van toegang tot een webapplicatie

• Eradication-stappen:

  • Houd tijdelijke mitigaties in stand totdat een patch, upgrade, vervanging of duurzame configuratiefix beschikbaar is.
  • Verwijder blootgestelde functies, kwetsbare diensten, integraties of componenten als het risico niet veilig te verlagen is.
  • Bereid noodherstelplannen voor voor het moment dat de leverancier een oplossing uitbrengt.

• Recovery-stappen:

  • Ga over op PB-017 zodra een patch, upgrade of duurzame oplossing beschikbaar is.
  • Valideer dat compenserende maatregelen effectief blijven totdat het permanente herstel is afgerond.
    • 📘 RB-RECOVERY-007: Validatie van het verhelpen van een kwetsbaarheid
  • Volg het geaccepteerde restrisico, uitzonderingen, compenserende maatregelen en reviewdata.

7. Communicatie & escalatie

• Interne communicatie:

  • Informeer de securityleiding, vulnerability management, systeem- en applicatie-eigenaren, platformeigenaren en getroffen zakelijke stakeholders.
  • Gebruik de overdracht tussen regio's als de respons meerdere diensten beslaat.
    • 📘 SOP-002: Incidentoverdracht tussen regio's

• Externe communicatie:

  • Stem communicatie met leveranciers, klanten, toezichthouders, directie en Legal af via de goedgekeurde processen.
    • 📘 SOP-003: Escalatie en communicatie met Legal en directie
    • 📘 SOP-005: Communicatie met leveranciers tijdens een security-incident

• Escalatiecriteria:

  Situatie	Escaleren naar
  Exploitatie bevestigd	PB-015: Actieve exploitatie
  Er komt een patch, upgrade of duurzame oplossing beschikbaar	PB-017: Vulnerability Response
  Malware of verdachte uitvoering vastgesteld	PB-003: Endpoint-malware-infectie / PB-011: Verdachte uitvoering
  Compromittering van een account of misbruik van credentials vastgesteld	PB-004: Account Takeover
  Blootstelling, staging of exfiltratie van data vastgesteld	PB-005: Data-exfiltratie
  Cloud compromise vastgesteld	PB-007: Cloud Compromise
  Compromittering van een webapplicatie vastgesteld	PB-008: Aanval op een webapplicatie
  Grote bedrijfsimpact, noodstop of wijdverspreide blootstelling	PB-019: Management van een major security incident

8. Post-incidentactiviteiten

• Lessons learned:

  • Houd een PIR over de intake van de zero-day, de beoordeling van de blootstelling, de timing van de mitigatie, de afstemming met de leverancier, de dekking van de monitoring en de overgang naar herstel.
  • Beoordeel of compenserende maatregelen, de assetinventaris, threat intelligence en communicatiepaden toereikend waren.

• Documentatie bijwerken:

  • Werk registraties van kwetsbaarheden, mitigaties, monitoringinhoud, contactpersonen bij leveranciers, de registratie van uitzonderingen, runbooks en dit playbook bij op basis van de lessons learned.

9. Referenties & gekoppelde bronnen

• Playbooks:

  • PB-003: Endpoint-malware-infectie
  • PB-004: Account Takeover
  • PB-005: Data-exfiltratie
  • PB-007: Cloud Compromise
  • PB-008: Aanval op een webapplicatie
  • PB-011: Verdachte uitvoering
  • PB-015: Actieve exploitatie
  • PB-017: Vulnerability Response
  • PB-019: Management van een major security incident

• Runbooks:

  • RB-TRIAGE-002: Triage van EDR-alerts
  • RB-TRIAGE-003: Triage van identity-alerts
  • RB-TRIAGE-009: Validatie van een kwetsbaarheid
  • RB-TRIAGE-011: Triage van alerts van het cloudplatform
  • RB-TRIAGE-012: Triage van een aanval op een webapplicatie
  • RB-ANALYSIS-039: Beoordeling van blootstelling aan een kwetsbaarheid
  • RB-ANALYSIS-040: Kwetsbare assets vaststellen
  • RB-ANALYSIS-041: Verificatie van exploitatie
  • RB-ANALYSIS-042: Threat intelligence-beoordeling van een kwetsbaarheid
  • RB-CONTAIN-012: Containment van het exploitatie-oppervlak
  • RB-CONTAIN-014: Beperken van blootstelling aan een kwetsbaarheid
  • RB-CONTAIN-015: Isolatie van cloud-workloads
  • RB-CONTAIN-016: Beperken van toegang tot een webapplicatie
  • RB-RECOVERY-007: Validatie van het verhelpen van een kwetsbaarheid

• SOP's:

  • SOP-001: On-call van een engineeringteam oproepen bij security-incidenten
  • SOP-002: Incidentoverdracht tussen regio's
  • SOP-003: Escalatie en communicatie met Legal en directie
  • SOP-005: Communicatie met leveranciers tijdens een security-incident

10. Bijlagen

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.