Arcana IR-documentatie · Nederlandse vertaling English

RB-ANALYSIS-010: Onderzoek naar blootgestelde credentials

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Onderzoek naar blootgestelde credentials
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Authenticatietelemetrie
Logs van de identity provider
Gebruikersmeldingen
Browsertelemetrie
Threat intelligence-gegevens
Endpoint-telemetrie
Toegang tot de identity provider
Toegang tot het SIEM-platform
Toegang tot het EDR-platform
Toegang tot het threat intelligence-platform
Tools voor monitoring van blootgestelde wachtwoorden

2. Stap-voor-stap-instructies

Stel de oorspronkelijke blootstellingsvector vast
- Stel vast of de blootstelling plaatsvond via:
  - Phishing
  - Malware
  - Credential stuffing
  - Hergebruik van wachtwoorden
  - Diefstal van credentials uit de browser
  - Token theft
  - Openbare lekken van credentials
Review de authenticatietijdlijn
- Stel vast:
  - De vroegste verdachte aanmelding
  - Mislukte authenticatiepogingen
  - MFA-activiteit
  - Wachtwoordresets
  - Het aanmaken van sessies
Beoordeel het risico van hergebruik van wachtwoorden
- Stel vast:
  - Gebruik van gedeelde wachtwoorden
  - Overlap tussen zakelijke en privéwachtwoorden
  - Hergebruik bij service accounts
  - Hergebruik van beheercredentials
Review de indicatoren van blootstelling op endpoints
- Stel vast:
  - Dumpen van credentials uit de browser
  - Token theft
  - Diefstal van sessiecookies
  - Compromittering van een wachtwoordmanager
  - Infostealer-activiteit
Review externe bronnen van blootstelling
- Controleer:
  - Opslagplaatsen van credential dumps
  - Threat intelligence-feeds
  - Bronnen voor dark web-monitoring
  - Bekende datasets van datalekken
Stel aangrenzend risico vast
- Beoordeel:
  - Andere getroffen accounts
  - Gedeelde apparaten
  - Gedeelde authenticatie-infrastructuur
  - Gedeelde API-credentials

3. Na afloop

Documenteer alle bevindingen in het incidentticket

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.