RB-ANALYSIS-009: Beoordeling van geprivilegieerde toegang
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | Beoordeling van geprivilegieerde toegang | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
- Authenticatielogs
- Logs van beheeractiviteit
- Telemetrie van roltoewijzingen
- Endpoint-telemetrie
- Logs van sessieactiviteit
- Toegang tot de identity provider
- Toegang tot het SIEM-platform
- Toegang tot het PAM-platform
- Toegang tot het EDR-platform
- Toegang tot cloud-auditlogs
2. Stap-voor-stap-instructies
- Stel de blootstelling van geprivilegieerde toegang vast
- Stel vast:
- Toegewezen beheerrollen
- Actieve geprivilegieerde sessies
- Geprivilegieerde toegang tot applicaties
- Gedeelde beheeraccounts
- Veelgemaakte fouten:
- Geërfde privileges niet reviewen
- Blootstelling van service accounts negeren
- Stel vast:
- Review de beheeractiviteit
- Beoordeel:
- Wijzigingen in roltoewijzingen
- Wijzigingen in beleid
- Wijzigingen in toegangscontrole
- Wijzigingen in beveiligingsconfiguratie
- Beheeractiviteit via API's
- Beoordeel:
- Stel indicatoren van privilege escalation vast
- Zoek naar:
- Nieuwe geprivilegieerde accounts
- Wijzigingen in groepslidmaatschappen
- Wijzigingen in conditional access
- Wijzigingen in het MFA-beleid
- Misbruik van service principals
- Zoek naar:
- Review de lateral movement-activiteit
- Stel vast:
- Beheertoegang op afstand
- Authenticatie tussen systemen
- Springen tussen geprivilegieerde sessies
- Gebruik van beheertools
- Stel vast:
3. Na afloop
- Documenteer alle bevindingen in het incidentticket
Bijdrager
Vishal Thakur GitHub: https://github.com/malienist
Jayden Vo GitHub: https://github.com/jayden-vo
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.