RB-ANALYSIS-023: Commandoregelanalyse
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | Commandoregelanalyse | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
Zorg voordat je met dit runbook begint voor het volgende:
- Toegang tot EDR-telemetrie
- Toegang tot SIEM-telemetrie
- Logs van procesuitvoering zijn beschikbaar
- Command line-logging staat aan
- De hostnaam van het endpoint is vastgesteld
- De gebruikerscontext is vastgesteld
- Er is een incidentticket aangemaakt
2. Stap-voor-stap-instructies
-
Stel verdachte procesuitvoering vast
Verzamel:
- Procesnaam
- Procespad
- Parent process
- Child processes
- Gebruikerscontext
- Tijdstip van uitvoering
Stel vast:
- Of de uitvoering overeenkomt met de telemetrie van de alert
- Of de uitvoering nog doorgaat
-
Verkrijg de volledige command line
Verzamel:
- De volledige command line
- De command line van de parent
- De command lines van de children
- Het uitvoeringspad
- De werkmap
Controleer op:
- Afkapping
- Ontbrekende argumenten
- Alternatieve uitvoeringspaden
-
Analyseer de command line-argumenten
Controleer op:
- Gecodeerde inhoud
- Downloadacties
- Ophalen van externe resources
- Uitvoering van bestanden
- Starten van processen
- Credential access
- Wijzigingen in de registry
- Aanmaken van persistence
Stel vast:
- Verdachte switches
- Ongebruikelijke combinaties van argumenten
- Verborgen uitvoeringsvlaggen
-
Decodeer verhulde inhoud
Controleer op:
- Base64-codering
- Hex-codering
- Aan elkaar geplakte strings
- Variabelensubstitutie
- Uitvoering in meerdere fasen
Als er gecodeerde inhoud is:
- Decodeer die veilig
- Bewaar de gedecodeerde uitvoer
- Documenteer de bevindingen
-
Stel veelvoorkomende aanvalstechnieken vast
Controleer op:
- PowerShell download cradles
- Gebruik van Invoke-WebRequest
- Bitsadmin-activiteit
- Misbruik van certutil
- Uitvoering via rundll32
- Uitvoering via regsvr32
- Uitvoering via mshta
- Uitvoering via wscript/cscript
Map de activiteit waar van toepassing op bekende ATT&CK-technieken.
-
Beoordeel de bedoeling van de uitvoering
Stel vast of de command line wijst op:
- Uitvoering van malware
- Opzetten van persistence
- Credential theft
- Lateral movement
- Klaarzetten van data
- Data-exfiltratie
- Verkenning
- Legitiem beheer
Documenteer de onderbouwing.
-
Correleer aanvullende activiteit
Review:
- Authenticatieactiviteit
- Netwerkactiviteit
- Bestandstoegang
- Wijzigingen in de registry
- Aanmaken van scheduled tasks
- Aanmaken van services
Stel vast of de uitvoering op zichzelf stond of deel was van bredere activiteit.
-
Escaleer indien nodig
Als het bewijs op een ander type incident wijst:
Activeer:
- PB-003 Endpoint Malware
- PB-004 Account Takeover
- PB-005 Data Exfiltration
- PB-007 Cloud Compromise
- PB-009 Privilege Escalation
- PB-010 Lateral Movement
Ga tegelijk door met het huidige playbook.
-
Documenteer de bevindingen
Leg vast:
- De volledige command line
- De gedecodeerde inhoud
- De analysebevindingen
- De ATT&CK-mappings
- Bijbehorende activiteit
- Escalatiebesluiten
Voeg ondersteunend bewijs toe.
-
Werk het incidentrecord bij
Werk bij:
- Onderzoeksnotities
- Beoordeling van de scope
- Risicobeoordeling
- Aanbevelingen voor containment
- Volgende onderzoeksacties
Informeer de Incident Lead als escalatie nodig is.
3. Na afloop
Na afronding:
- Zorg dat al het command line-bewijs is bewaard
- Zorg dat de gedecodeerde inhoud is vastgelegd
- Zorg dat de escalatiebesluiten zijn vastgelegd
- Zorg dat gerelateerde playbooks zo nodig zijn geactiveerd
- Zorg dat het incidentticket is bijgewerkt
Bijdrager
Vishal Thakur GitHub: https://github.com/malienist
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.