RB-ANALYSIS-026: Validatie van gebruikersactiviteit

Documentbeheer

1. Vereisten

Zorg voordat je met dit runbook begint voor het volgende:

• Toegang tot EDR-telemetrie
• Toegang tot SIEM-telemetrie
• De identiteit van de gebruiker is bevestigd
• De hostnaam van het endpoint is vastgesteld
• De relevante alerts zijn verzameld
• Er is een incidentticket aangemaakt

2. Stap-voor-stap-instructies

1. Stel de gebruikerscontext vast

   Verzamel:

   • Gebruikersnaam
   • Afdeling
   • Leidinggevende
   • Privilegeniveau
   • Eigenaar van het endpoint
   • Normale werkzaamheden

   Stel vast:

   • Of de gebruiker technisch of niet-technisch is
   • Of er verhoogde rechten zijn
   • Of beheeractiviteit te verwachten is

2. Review de activiteit uit de alert

   Stel vast:

   • Procesuitvoering
   • Command line-activiteit
   • Scriptuitvoering
   • Netwerkactiviteit
   • Authenticatieactiviteit
   • Bestandstoegang

   Stel vast:

   • Welke acties de alert veroorzaakten
   • Wanneer de activiteit plaatsvond
   • Welke systemen betrokken waren

3. Review het historische gedrag van de gebruiker

   Beoordeel:

   • Normale aanmeldpatronen
   • Normale werktijden
   • Normaal applicatiegebruik
   • Gebruik van beheertools
   • Eerdere alerts

   Stel afwijkingen van het vastgestelde gedrag vast.

4. Valideer het zakelijke doel

   Stel vast of de activiteit past bij:

   • Goedgekeurde change requests
   • Software-uitrol
   • Beheerwerkzaamheden
   • Securitytests
   • Ontwikkelwerk
   • Gepland onderhoud

   Review de beschikbare documentatie.

5. Valideer bij relevante stakeholders

   Waar nodig:

   • Neem contact op met de gebruiker
   • Neem contact op met de leidinggevende
   • Neem contact op met de systeemeigenaar
   • Neem contact op met het IT-beheerteam
   • Neem contact op met het ontwikkelteam

   Bevestig:

   • Of de activiteit werd verwacht
   • Of de activiteit was toegestaan
   • Of de activiteit was goedgekeurd

   Documenteer alle antwoorden.

6. Review gerelateerde activiteit

   Beoordeel:

   • Authenticatieactiviteit
   • Endpointactiviteit
   • Netwerkactiviteit
   • Cloudactiviteit
   • Bestandstoegang

   Stel vast of de activiteit op zichzelf stond of deel was van breder gedrag.

7. Beoordeel het risico

   Stel vast of de activiteit:

   • Toegestaan en verwacht is
   • Toegestaan maar riskant is
   • Niet toegestaan maar onschuldig is
   • Verdacht is
   • Kwaadaardig is

   Documenteer de onderbouwing.

8. Stel aanvullende indicatoren vast

   Controleer op:

   • Persistence-mechanismen
   • Credential access
   • Klaarzetten van data
   • Data-exfiltratie
   • Privilege escalation
   • Lateral movement

   Vergroot bij vondsten de scope van het onderzoek.

9. Escaleer indien nodig

   Als het bewijs op een ander type incident wijst:

   Activeer:

   • PB-003 Endpoint Malware
   • PB-004 Account Takeover
   • PB-005 Data Exfiltration
   • PB-006 Insider Threat
   • PB-007 Cloud Compromise
   • PB-009 Privilege Escalation
   • PB-010 Lateral Movement

   Ga tegelijk door met het huidige playbook.

10. Werk het incidentrecord bij

    Leg vast:

    • Bevindingen uit de gebruikersvalidatie
    • Antwoorden van stakeholders
    • Beoordeling van het gedrag
    • Risicobeoordeling
    • Escalatiebesluiten

    Voeg ondersteunend bewijs toe.

3. Na afloop

Na afronding:

• Zorg dat alle antwoorden van stakeholders zijn vastgelegd
• Zorg dat het oordeel over de legitimiteit van de activiteit is vastgelegd
• Zorg dat de escalatiebesluiten zijn vastgelegd
• Zorg dat ondersteunend bewijs is toegevoegd
• Zorg dat het incidentticket is bijgewerkt

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.