RB-ANALYSIS-003: Patient zero vaststellen

Documentbeheer

1. Vereisten

• Toegang tot logs
  • Toegang tot EDR-telemetrie
  • Toegang tot authenticatielogs (IdP, SSO, Active Directory, Entra ID, Okta, enz.)
  • Toegang tot logs van Active Directory / de directory service
  • Toegang tot telemetrie van de e-mailgateway / mailflow
  • Toegang tot VPN-logs
  • Toegang tot cloud-auditlogs (bijv. AWS CloudTrail, Azure Activity Logs, GCP Audit Logs)
  • Toegang tot logs van SaaS-applicaties (bijv. Microsoft 365, Google Workspace, Salesforce, GitHub, Okta)
  • Netwerk- / proxy- / DNS- / firewalllogs
• Tijdlijngegevens uit de SIEM
• Tijdlijngegevens van endpoints (bestands-, proces-, registry- en autorun-gebeurtenissen)
• Toegang tot het SIEM-platform
• Toegang tot het EDR-platform
• Gegevens uit de asset- en gebruikersdirectory (om hostnamen, accounts en eigenaren te correleren)

2. Stap-voor-stap-instructies

1. Bouw een eerste tijdlijn

   • Stel de vroegst bevestigde indicator van compromittering vast (alert, gebruikersmelding, afwijking in logs, extern gemelde indicator)
   • Stel de eerste verdachte uitvoering, actie of transactie vast
   • Markeer de eerste verdachte authenticatiegebeurtenis
   • Veranker de tijdlijn aan een bekend-goed referentiepunt vóór de eerste verdachte gebeurtenis

2. Stel de vroegst getroffen host, account of entiteit vast

   • Gebruik bekende IOC's (hashes, IP's, domeinen, accounts, signaturen) uit stap 1 als zoektermen om door te pivoten naar alerts en telemetrie
   • Controleer of er alerts zijn afgegaan (EDR, SIEM, IDS, DLP, cloud-securitytooling):
     • Als er alerts zijn - stel de vroegste vast over alle typen entiteiten (host, account, cloudtenant, SaaS-app, mailbox, repository, API-sleutel/token); zie die als beginpunt, niet als conclusie
     • Als er geen alerts zijn afgegaan - pivot met bekende IOC's naar ruwe telemetrie: review de authenticatielogs op de eerste ongebruikelijke aanmelding; toegangslogs op de eerste ongebruikelijke toegang tot een resource; DNS-/proxylogs op de eerste verdachte uitgaande verbinding; cloud-/SaaS-auditlogs op de eerste ongebruikelijke API-aanroep, rechtentoekenning of data-export; EDR-telemetrie op de eerste verdachte uitvoering of het eerste persistence-artefact
   • Let op: vroegste alert ≠ vroegste activiteit - kijk altijd verder terug in ruwe telemetrie om te bevestigen dat er niets van eerder is
   • Documenteer gebruikersmeldingen
   • Leg het vroegst bevestigde tijdstip van verdachte activiteit vast, met de bijbehorende entiteit

3. Review de indicatoren van initial access

   • Controleer op phishingactiviteit
   • Onderzoek indicatoren van VPN-compromittering
   • Beoordeel blootgestelde diensten voor toegang op afstand (RDP, SSH, VPN, jump hosts, beheerinterfaces)
   • Review indicatoren van credential theft
   • Stel aflevering van een kwaadaardige payload vast (drive-by, download, bijlage, supply chain, software van derden)
   • Controleer op exploitatie van kwetsbaarheden (recent gepubliceerde CVE's, exploitatie van webapps, misbruik van publiek bereikbare diensten)
   • Controleer op misbruik van geldige accounts (gekochte credentials, gelekte tokens, misbruik van OAuth-consent, session hijacking)
   • Controleer op misbruik van vertrouwensrelaties (derde partij, ingehuurde kracht, managed service provider, supply chain)
   • Controleer waar van toepassing op fysieke vectoren / insiders (verloren apparaat, USB, misbruik door een insider)

4. Analyseer de gebruikersactiviteit

   • Review het gebruik van geprivilegieerde accounts
   • Stel ongebruikelijke aanmeldlocaties, apparaten of impossible travel vast
   • Documenteer activiteit van niet-menselijke identiteiten (service accounts, machine-identiteiten, API-sleutels, OAuth-apps)
   • Markeer afwijkingen in MFA, conditional access en sessies (prompt bombing, token theft, consent grants)
   • Stel activiteit vast van accounts die slapend, recent aangemaakt of recent opnieuw ingeschakeld zijn

5. Stel vast hoe de lateral movement verliep

   • Stel de technieken voor lateral movement vast
   • Volg het gebruik van gedeelde credentials
   • Stel vast welke beheertools, RMM en dual-use-tools zijn misbruikt voor de verplaatsing
   • Documenteer de methoden voor uitvoering op afstand
   • Stel verspreiding via identiteiten vast (hergebruik van tokens, misbruik van federatie, overnemen van rollen, toegang over tenants heen)
   • Stel verspreiding via cloud / SaaS vast (over accounts heen, over tenants heen, van app naar app)
   • Stel vast hoe de compromittering zich van de eerste entiteit naar andere heeft verspreid

6. Valideer de kandidaat-patient zero

   • Bevestig dat er geen eerdere indicator bestaat voor die host, identiteit of entiteit
   • Bevestig dat de initial access-vector past bij de voorgestelde tijdlijn
   • Bevestig dat de verspreiding vanaf de vastgestelde patient zero past bij de waargenomen compromittering van andere entiteiten
   • Faalt een van bovenstaande, dan is de kandidaat geen patient zero - ga terug naar stap 1.

3. Na afloop

• Leg de tijdlijn en de initial access-vector vast in het incidentticket
• Documenteer alle nieuw vastgestelde gecompromitteerde accounts, hosts en entiteiten die tijdens het onderzoek zijn ontdekt
• Leg nieuwe IOC's (hashes, IP's, domeinen, accounts, tokens, signaturen) vast in het incidentticket

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.