RB-ANALYSIS-022: Scoping hunt naar exfiltratie

Documentbeheer

1. Vereisten

• Vermoedelijk of bevestigd incident met data-exfiltratie
• Afronding van:
  • Outbound Traffic Analysis
  • Data Staging Investigation
  • Cloud Storage & SaaS Review
  • Sensitive Data Impact Assessment
• Toegang tot de SIEM
• Toegang tot EDR-telemetrie
• Toegang tot authenticatielogs
• Toegang tot cloud-auditlogs
• Toegang tot netwerktelemetrie
• Toegang tot DLP-telemetrie (indien beschikbaar)
• Bekende indicatoren die tijdens het onderzoek zijn vastgesteld
• Een vastgestelde onderzoekstijdlijn

2. Stap-voor-stap-instructies

1. Bepaal de scope van de hunt

   • Stel vast:
     • Getroffen gebruikers
     • Getroffen endpoints
     • Getroffen servers
     • Getroffen cloud-workloads
     • Getroffen SaaS-applicaties
   • Documenteer de eerste scope van het onderzoek.

2. Stel gerelateerde accounts vast

   • Review:
     • Authenticatieactiviteit
     • Gedeelde credentials
     • Beheerrelaties
     • Toewijzingen van geprivilegieerde toegang
   • Stel andere accounts vast die mogelijk bij de activiteit betrokken zijn.

3. Stel gerelateerde systemen vast

   • Onderzoek:
     • Systemen die getroffen gebruikers hebben benaderd
     • Systemen die communiceren met getroffen hosts
     • Gedeelde bestandsrepositories
     • Gedeelde cloudresources
   • Stel andere systemen vast die mogelijk betrokken waren.

4. Hunt naar vergelijkbare dataoverdrachten

   • Zoek naar:
     • Vergelijkbare uitgaande bestemmingen
     • Vergelijkbare overdrachtsvolumes
     • Vergelijkbare overdrachtsmethoden
     • Vergelijkbare uploads naar de cloud
   • Stel andere gevallen van verdacht gedrag vast.

5. Review historische activiteit

   • Vergroot het onderzoeksvenster.
   • Doorzoek historische telemetrie op:
     • Eerdere overdrachten
     • Eerdere staging
     • Eerdere afwijkingen in authenticatie
     • Eerdere deelactiviteit in de cloud
   • Stel vast of de activiteit van vóór de eerste alert dateert.

6. Stel andere databronnen vast

   • Review:
     • Fileshares
     • Databases
     • Samenwerkingsplatforms
     • Repositories in cloudopslag
     • SaaS-applicaties
   • Stel vast of andere databronnen mogelijk zijn benaderd.

7. Onderzoek andere gebruikers

   • Review de activiteit van:
     • Beheerders
     • Service accounts
     • Geprivilegieerde gebruikers
     • Gebruikers die met getroffen assets werkten
   • Stel vast welke andere gebruikers onderzocht moeten worden.

8. Correleer de bevindingen over databronnen heen

   • Correleer:
     • Authenticatieactiviteit
     • Endpointactiviteit
     • Netwerkactiviteit
     • Cloudactiviteit
     • SaaS-activiteit
   • Stel gemeenschappelijke indicatoren, tijdlijnen en gedragingen vast.

9. Stel de uitgebreide scope vast

   • Documenteer:
     • Extra vastgestelde gebruikers
     • Extra vastgestelde systemen
     • Extra vastgestelde datasets
     • Extra vastgestelde overdrachten
     • Extra vastgestelde blootstelling
   • Beoordeel hoeveel de scope van het incident in totaal is gegroeid.

10. Escaleer en draag over

    • Geef de bevindingen door aan de Incident Commander en de Technical Lead.
    • Werk bij:
      • Severity van het incident
      • Impactbeoordeling
      • Scope van de containment
      • Recoveryplanning
    • Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

• Zorg dat alle nieuw vastgestelde assets zijn vastgelegd.
• Zorg dat alle nieuw vastgestelde gebruikers zijn vastgelegd.
• Documenteer alle nieuw vastgestelde datasets en repositories.
• Bewaar al het bewijs dat de uitbreiding van de scope onderbouwt.
• Werk de incidenttijdlijn bij met nieuw ontdekte activiteit.
• Voeg de huntresultaten en ondersteunend bewijs toe aan het incidentrecord.
• Neem zo nodig deel aan containment, recovery en post-incidentactiviteiten.

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.