RB-ANALYSIS-012: Validatie van interactie met phishing

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Validatie van interactie met phishing
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

Benodigde tools:

Controleer de interactie met de e-mail (klikactiviteit):
- Bevraag de logs van de e-mailbeveiliging
  - Klikgebeurtenissen op links
  - Tijdstip van de klik Valideer:
  - Welke URL is bezocht en hoe vaak.
Bevestig de webtoegang:
- Controleer de proxy- / DNS-logs:
  - Heeft de gebruiker het phishingdomein opgevraagd of er verbinding mee gemaakt?
- Valideer:
  - IP-adres
  - Of het tijdstip aansluit op de aflevering van de e-mail
Stel vast of credentials zijn ingevoerd:
- Indicatoren:
  - Bezoek aan een bekende pagina voor credential harvesting
  - POST-requests naar verdachte endpoints
- Indien beschikbaar:
  - Bekijk de sandboxresultaten uit de URL-analyse
Analyseer de logs van de identity provider:
- Zoek naar:
  - Aanmeldpogingen kort na de klik
  - Geslaagde aanmelding vanaf:
    - Een nieuw IP / nieuwe geolocatie
    - Een ongebruikelijk apparaat
  - MFA-gebeurtenissen:
    - Goedgekeurde pushmeldingen
    - Patronen van MFA fatigue
Controleer op actieve sessies:
- Stel vast:
  - Bestaande actieve sessies
  - Tokengebruik over diensten heen
- Zoek naar:
  - Pieken in API-gebruik
  - Afwijkingen in SaaS-toegang
Verificatie bij de gebruiker (indien nodig):
- Neem contact op met de gebruiker:
  - Heeft hij of zij geklikt?
  - Zijn er credentials ingevoerd?
- Controleer dit tegen de logs (vertrouw niet alleen op het geheugen van de gebruiker)

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.