RB-ANALYSIS-007: Analyse van authenticatielogs

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Analyse van authenticatielogs
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

Bouw een authenticatietijdlijn
- Stel vast
  - De vroegste verdachte aanmelding
  - Geslaagde authenticaties
  - Mislukte aanmeldpogingen
  - MFA-activiteit
  - Gebeurtenissen waarbij sessies zijn aangemaakt
Review de broninfrastructuur
- Beoordeel:
  - Bron-IP's
  - ASN/provider
  - Geolocatie
  - Of het om bekende kwaadaardige infrastructuur gaat
  - Gebruik van VPN of anonimisering
Analyseer de context van apparaat en sessie
- Review:
  - Apparaat-ID's
  - Browserfingerprints
  - Sessieduur
  - User-agent-strings
  - Nieuwe apparaatregistraties
Review de MFA-activiteit
- Stel vast:
  - Pogingen tot MFA fatigue
  - Push bombing
  - Omzeiling van MFA
  - Afwijkingen in apparaatregistraties
  - Mislukte MFA-pogingen
Beoordeel geprivilegieerde activiteit
- Review:
  - beheeraanmeldingen
  - gebruik van geprivilegieerde rollen
  - toegang tot gevoelige applicaties
  - ongebruikelijke beheeracties
Correleer aanvullende activiteit
- Review:
  - Endpoint-telemetrie
  - VPN-toegang
  - SaaS-toegang
  - Cloudactiviteit
  - Indicatoren van lateral movement

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.