RB-ANALYSIS-005: TTP-mapping van de threat actor

Documentbeheer

1. Vereisten

• De tot nu toe verzamelde tijdlijn en IOC's van het incident
• Bevindingen uit de payload- of malwareanalyse
• Toegang tot een threat intelligence-platform of rapportages van leveranciers
• Toegang tot SIEM en EDR om alerts, detecties en dekking te reviewen
• MITRE ATT&CK-framework als naslag

2. Stap-voor-stap-instructies

1. Review de waargenomen technieken

   • Stel de methoden voor initial access vast
   • Documenteer de technieken voor credential access
   • Documenteer de methoden voor lateral movement
   • Stel de persistence-mechanismen vast
   • Documenteer de waargenomen technieken voor defense evasion
   • Documenteer het exfiltratiegedrag

2. Map de TTP's op MITRE ATT&CK

   • Documenteer de technique-ID's
   • Leg de sub-techniques vast
   • Documenteer het waargenomen gedrag

3. Correleer met bekende threat actors

   • Vergelijk de waargenomen TTP's met openbare threat intelligence-rapportages
   • Vergelijk met threat intel-feeds op overeenkomende indicatoren of gedrag
   • Stel bekende overlap in infrastructuur vast (IP's, domeinen, tooling, certificaten)
   • Beoordeel of het waargenomen gedrag past bij een bekende threat actor, cluster of campagne

4. Stel gaten in de detectie vast

   • Stel gemiste detecties vast
   • Documenteer vertraagde alerts
   • Stel gaten in het zicht vast
   • Beoordeel tekortkomingen in de logging
   • Stel detectiemogelijkheden vast

3. Na afloop

• Documenteer de bevindingen en de vastgestelde TTP's in het incidentticket.
• Draag gaten in de detectie en verbeteraanbevelingen over aan detection engineering voor opvolging
• Werk de threat intelligence-platforms bij met nieuw vastgestelde IOC's, TTP's en infrastructuur

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.