RB-ANALYSIS-019: Onderzoek naar data staging

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Onderzoek naar data staging
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Vermoedelijk of bevestigd incident met data-exfiltratie
Toegang tot EDR-telemetrie
Toegang tot forensische tooling voor endpoints
Toegang tot artefacten in het bestandssysteem
Toegang tot de SIEM
Toegang tot eventlogs van het besturingssysteem
Toegang tot telemetrie van cloud-workloads (indien van toepassing)
Hostnamen, gebruikersnamen en assets die tijdens de triage zijn vastgesteld
Een vastgestelde onderzoekstijdlijn

2. Stap-voor-stap-instructies

Stel de mogelijk getroffen assets vast
- Stel vast:
  - Werkstations
  - Servers
  - Cloud-workloads
  - Fileservers
  - Endpoints met een koppeling naar SaaS
- Documenteer alle assets die bij het onderzoek horen.
Review de bestandstoegang
- Stel vast:
  - Grootschalige bestandstoegang
  - Massale opsomming van bestanden
  - Toegang tot gevoelige bestanden
  - Ongebruikelijke toegangspatronen
- Stel vast of de activiteit past bij de normale bedrijfsvoering.
Stel het aanmaken van archieven vast
- Review uitvoering en het aanmaken van bestanden voor:
  - ZIP
  - RAR
  - 7z
  - TAR
  - GZIP
  - Andere compressietools
- Stel nieuw aangemaakte archiefbestanden vast.
Onderzoek de staging-mappen
- Review:
  - Tijdelijke mappen
  - Gebruikersprofielmappen
  - Downloadmappen
  - Gedeelde mappen
  - Cloudsynchronisatiemappen
- Stel vast op welke locaties bestanden vóór de overdracht zijn verzameld.
Review de command line-activiteit
- Onderzoek de uitvoering van:
  - Compressietools
  - Tools om bestanden te kopiëren
  - Synchronisatietools
  - Script-engines
  - Automatiseringstools
- Documenteer verdachte commando's en uitvoeringsketens.
Review het gebruik van cloudopslag
- Stel het gebruik vast van:
  - OneDrive
  - Google Drive
  - Dropbox
  - Box
  - Mega
  - Andere cloudopslagproviders
- Stel vast of bestanden naar gesynchroniseerde mappen zijn gekopieerd.
Review het gebruik van verwisselbare media
- Onderzoek:
  - Het aansluiten van USB-apparaten
  - Gebruik van externe opslag
  - Grote kopieeracties van bestanden
- Stel mogelijke staging op verwisselbare media vast.
Correleer met de analyse van uitgaand verkeer
- Vergelijk de vastgestelde staging met:
  - Netwerkoverdrachten
  - Uploads naar de cloud
  - Externe communicatie
- Stel vast of de klaargezette data daarna is overgedragen.
Stel de omvang van de klaargezette data vast
- Stel vast:
  - Aantal betrokken bestanden
  - Betrokken bestandstypen
  - Data-eigenaren
  - Getroffen bedrijfsonderdelen
  - Geschat datavolume
- Documenteer de bevindingen en het betrouwbaarheidsniveau.
Escaleer en draag over
- Geef de bevindingen door aan de Incident Commander en de Technical Lead.
- Escaleer naar:
  - Sensitive Data Impact Assessment
  - Exfiltration Scoping Hunt
  - Containment-activiteiten
- Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

Zorg dat alle staging-locaties zijn vastgelegd.
Bewaar de vastgestelde artefacten en het forensisch bewijs.
Documenteer alle archiefbestanden en bijbehorende metadata.
Leg alle vastgestelde staging-tools en -technieken vast.
Voeg de onderzoeksbevindingen toe aan het incidentrecord.
Neem zo nodig deel aan de verdere containment en impactbeoordeling.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.