RB-ANALYSIS-002: Phishing retro hunt
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | Phishing retro hunt | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
- Toegang tot een lijst met IOC's
- Afzenderadressen/-domeinen
- Onderwerpregels
- URL's
- Hashes van bijlagen
- Tijdstippen van e-mails
- Threat intel-indicatoren
- Toegang tot het e-mailplatform (Microsoft 365, Google Workspace)
- Toegang tot de SIEM / het logplatform
- Toegang tot het EDR-platform
- Toegang tot proxy- / DNS-logs
- Toegang tot het threat intel-platform
2. Stap-voor-stap-instructies
-
Stel de kernindicatoren vast
- Verzamel:
- Afzenderdomeinen
- Reply-To-adressen
- URL's
- Hashes van bijlagen
- IP-adressen
- Onderwerpen
- Verzamel:
-
Doorzoek de e-mailomgeving:
-
Zoek naar:
- Dezelfde afzender
- Vergelijkbare onderwerpregels
- Dezelfde URL's
- Dezelfde hashes van bijlagen
-
Stel vast:
- Aantal ontvangers
- Afleverstatus
- Interactie van gebruikers
-
-
Stel klikactiviteit vast
- Review:
- Kliklogs van e-mail
- Proxylogs
- DNS-resolutiegebeurtenissen
- Stel vast:
- Welke gebruikers de phishinginfrastructuur hebben bezocht
- Correlatie van tijdstippen
- Review:
-
Hunt naar blootgestelde credentials
- Review de IdP-logs op:
- Verdachte aanmeldingen
- Impossible travel
- MFA-afwijkingen
- Ongebruikelijke apparaten
- Review de IdP-logs op:
-
Hunt naar uitvoering van malware (indien van toepassing)
- Doorzoek de EDR-telemetrie op:
- Uitvoering van de hash
- Aanmaken van processen
- Netwerkverbindingen
- Gedrag van child processes
- Doorzoek de EDR-telemetrie op:
-
Stel de scope van de campagne vast
- Stel vast:
- Totaal aantal aangevallen gebruikers
- Totaal aantal gebruikers met interactie
- Getroffen afdelingen
- Geografische spreiding (indien relevant)
- Stel vast:
-
Voeg aanvullende detectielogica toe
- Rol tijdelijke detecties uit voor:
- Domeinen
- URL's
- Hashes
- IP's
- Gedragspatronen
- Rol tijdelijke detecties uit voor:
3. Na afloop
- Documenteer alle bevindingen in het incidentticket
Bijdrager
Vishal Thakur GitHub: https://github.com/malienist
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.