RB-ANALYSIS-020: Review van cloudopslag & SaaS

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Review van cloudopslag & SaaS
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Vermoedelijk of bevestigd incident met data-exfiltratie
Toegang tot auditlogs van de cloudprovider
Toegang tot SaaS-auditlogs
Toegang tot activiteitenlogs van cloudopslag
Toegang tot logs van de identity provider (IdP)
Toegang tot de SIEM
Toegang tot CASB-tooling (indien beschikbaar)
Gebruikersaccounts, hostnamen en assets die tijdens de triage zijn vastgesteld
Een vastgestelde onderzoekstijdlijn

2. Stap-voor-stap-instructies

Stel de cloud- en SaaS-diensten binnen de scope vast
- Stel vast:
  - Cloudopslagplatforms
  - SaaS-applicaties
  - Samenwerkingsplatforms
  - Diensten voor het delen van bestanden
- Documenteer alle platforms die bij het onderzoek horen.
Review de authenticatieactiviteit van gebruikers
- Review:
  - Aanmeldgebeurtenissen
  - Mislukte aanmeldpogingen
  - MFA-activiteit
  - Geografische afwijkingen
  - Impossible travel-gebeurtenissen
- Stel verdachte authenticatieactiviteit van getroffen gebruikers vast.
Review de uploads van bestanden
- Onderzoek:
  - Grote uploads
  - Massale uploads
  - Ongebruikelijke uploadpatronen
  - Uploads buiten kantoortijd
- Documenteer alle verdachte bestandsoverdrachten.
Review de downloads van bestanden
- Stel vast:
  - Massale downloads
  - Ongebruikelijke downloadlocaties
  - Externe toegang
  - Massale exports
- Stel vast of data mogelijk is verzameld voor exfiltratie.
Review de deelactiviteit
- Onderzoek:
  - Openbare deellinks
  - Anoniem delen
  - Toegang door externe gebruikers
  - Toegang via gastaccounts
  - Gedeelde mappen en repositories
- Stel mogelijke blootstellingspaden vast.
Review de toegang van applicaties van derden
- Onderzoek:
  - OAuth-applicaties
  - API-integraties
  - Service accounts
  - Connectoren van derden
- Stel ongeautoriseerde of verdachte integraties vast.
Review de beheeractiviteit
- Review:
  - Wijzigingen in rechten
  - Roltoewijzingen
  - Configuratiewijzigingen
  - Wijzigingen in het deelbeleid
- Stel vast of toegangscontroles zijn aangepast om toegang tot of overdracht van data mogelijk te maken.
Correleer met endpoint- en netwerkactiviteit
- Vergelijk de bevindingen met:
  - Outbound Traffic Analysis
  - Data Staging Investigation
  - Authentication Log Analysis
- Stel vast of de cloud- of SaaS-activiteit past bij het vastgestelde exfiltratiegedrag.
Stel scope en impact vast
- Stel vast:
  - Getroffen gebruikers
  - Getroffen applicaties
  - Getroffen datasets
  - Externe ontvangers
  - Mogelijk blootgestelde informatie
- Documenteer de bevindingen en het betrouwbaarheidsniveau.
Escaleer en draag over
- Geef de bevindingen door aan de Incident Commander en de Technical Lead.
- Escaleer naar:
  - Sensitive Data Impact Assessment
  - Exfiltration Scoping Hunt
  - Containment-activiteiten
- Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

Zorg dat alle getroffen cloud- en SaaS-platforms zijn vastgelegd.
Bewaar de relevante auditlogs en artefacten.
Documenteer alle externe deelactiviteit.
Documenteer alle vastgestelde integraties van derden.
Leg alle getroffen gebruikers, applicaties en datasets vast.
Voeg de onderzoeksbevindingen toe aan het incidentrecord.
Neem zo nodig deel aan de verdere containment en impactbeoordeling.

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.