RB-ANALYSIS-018: Analyse van uitgaand verkeer

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Analyse van uitgaand verkeer
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Een alert, incident of onderzoek met verdachte uitgaande netwerkactiviteit (bijv. C2 / beaconing, data-exfiltratie, ongeautoriseerde overdracht, communicatie na exploitatie, reverse shell)
Toegang tot firewalllogs
Toegang tot proxylogs
Toegang tot DNS-logs
Toegang tot NetFlow of netwerktelemetrie
Toegang tot EDR-telemetrie
Toegang tot de SIEM
Bron-IP-adressen, hostnamen of gebruikersaccounts die bij het onderzoek horen
Tijdvenster van de vermoedelijke activiteit

2. Stap-voor-stap-instructies

Stel de verdachte assets vast
- Stel de getroffen assets vast:
  - Endpoints
  - Servers
  - Gebruikersaccounts
  - Cloud-workloads
- Documenteer alle bekende indicatoren die bij het onderzoek horen.
Stel de onderzoekstijdlijn vast
- Stel vast:
  - Tijdstip van de eerste alert
  - Vroegst bekende verdachte activiteit
  - Laatst waargenomen activiteit
- Bepaal het analysevenster.
Review de uitgaande netwerkverbindingen
- Doorzoek de netwerktelemetrie op:
  - Externe IP-adressen
  - Domeinen
  - URL's
  - Landen van bestemming
- Stel alle uitgaande communicatie van de getroffen assets vast.
Stel ongebruikelijke uitgaande activiteit vast
- Zoek naar:
  - Grote dataoverdrachten (mogelijke exfiltratie)
  - Beaconpatronen - vaste intervallen, jitter, periodieke callbacks (mogelijke C2)
  - Langlopende of blijvende uitgaande verbindingen (mogelijke reverse shell of C2)
  - Verbindingen met pas geregistreerde of typosquatting-domeinen
  - Overdrachten of callbacks buiten kantoortijd
  - Ongebruikelijke bestemmingen of landen van bestemming
  - Zeldzame protocollen
  - Nieuwe of niet eerder geziene verbindingen
- Documenteer verdachte bevindingen.
Analyseer protocollen en verkeerspatronen
- Review het gebruik van:
  - HTTPS
  - DNS (inclusief tunnelingpatronen - hoog volume, ongebruikelijke TXT/NULL-records)
  - SFTP / SCP / FTP
  - SMB over VPN
  - Cloudopslagdiensten
  - Tools voor beheer op afstand
  - ICMP / ongebruikelijk gebruik van poorten
- Stel vast of het verkeerspatroon past bij:
  - Bulkoverdracht van data (exfiltratie)
  - Callbacks met laag volume (C2 / beaconing)
  - Een interactieve sessie (reverse shell, beheer op afstand)
Review de bestemmingsinfrastructuur
- Beoordeel:
  - Reputatie van de bestemmings-IP's
  - Reputatie van de bestemmingsdomeinen
  - Hostingproviders
  - Geografische locatie
- Stel indicatoren van kwaadaardige of verdachte infrastructuur vast.
Correleer met endpointactiviteit
- Doorzoek de EDR-telemetrie op:
  - Bestandstoegang, aanmaken van archieven, compressietools, cloudsynchronisatietools (mogelijke voorbereiding van exfiltratie)
  - Verdachte procesuitvoering, parent-child-ketens, command line-activiteit (mogelijke C2 / activiteit na exploitatie)
  - Persistence-mechanismen (scheduled tasks, services, run keys, cron, launch agents)
  - Indicatoren van procesinjectie of uitvoering in het geheugen
- Stel vast of het uitgaande verkeer samenhangt met verzamelen / klaarzetten van data, C2 / beaconing of activiteit na exploitatie.
Stel de aard en impact van de uitgaande activiteit vast
- Bij vermoeden van exfiltratie, schat:
  - Volume en duur van de overgedragen data
  - Aantal getroffen assets
  - Mogelijke gevoeligheid van de getroffen data
- Bij vermoeden van C2 / beaconing, stel vast:
  - Infrastructuur van de aanvaller (IP's, domeinen, ASN's)
  - Tempo en jitter van de beacons
  - Indicatoren van persistence
  - Waarschijnlijke malwarefamilie of implant op basis van het verkeerspatroon
- Bij vermoeden van een reverse shell / interactieve toegang, stel vast:
  - Duur en bron van de sessie
  - Tijdens de sessie uitgevoerde commando's
  - Benaderde of overgedragen bestanden
- Documenteer de bevindingen en het betrouwbaarheidsniveau.
Documenteer de bevindingen
- Leg vast:
  - Bronsystemen
  - Brongebruikers
  - Bestemmingsinfrastructuur
  - Overdrachtsmethoden
  - Overdrachtsvolumes
  - Tijdlijn van gebeurtenissen
- Bewaar relevant bewijsmateriaal.
Escaleer en draag over
- Geef de bevindingen door aan de Incident Commander en de Technical Lead.
- Escaleer op basis van de bevindingen:
  - Exfiltratie bevestigd → Data Staging Investigation, Sensitive Data Impact Assessment, Outbound Transfer Blocking
  - C2 / beaconing bevestigd → Malware Analysis, Persistence Mechanism Hunt, Host Isolation
  - Reverse shell / interactieve toegang bevestigd → Host Isolation, Session Token Revocation, Account Lockdown
- Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

Zorg dat alle vastgestelde bestemmingen zijn vastgelegd.
Zorg dat alle bewijsbronnen zijn bewaard.
Voeg relevante logs en telemetrie toe aan het incidentrecord.
Geef een samenvatting van de vermoedelijke exfiltratie, de getroffen assets en de vastgestelde bestemmingen.
Neem zo nodig deel aan het verdere onderzoek en de containment-activiteiten.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.