RB-ANALYSIS-027: Beoordeling van blootstelling bij een derde partij
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | Beoordeling van blootstelling bij een derde partij | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
Zorg voordat je met dit runbook begint voor het volgende:
- Er is een melding van compromittering van een derde partij ontvangen
- De leverancier is vastgesteld
- Er is een incidentticket aangemaakt
- Toegang tot de leveranciersinventaris
- Toegang tot de systemen voor identity- en toegangsbeheer
- Toegang tot cloud- en SaaS-auditlogs
- Toegang tot de assetinventaris
2. Stap-voor-stap-instructies
-
Valideer de relatie met de derde partij
Stel vast:
- Naam van de leverancier
- Geleverde dienst
- Zakelijke eigenaar
- Kritiekheidsclassificatie
- Contractuele relatie
- Verantwoordelijkheden bij gegevensverwerking
Stel vast:
- Of de organisatie de leverancier actief gebruikt
- Of de diensten nog werken
- Of de relatie actueel is
Documenteer de bevindingen.
-
Stel de afhankelijkheden van de organisatie vast
Review:
- SaaS-platforms
- Clouddiensten
- Managed service providers
- Softwareleveranciers
- Ontwikkelafhankelijkheden
- Securitytooling
- Infrastructuurproviders
Stel vast:
- Welke systemen afhankelijk zijn van de derde partij
- Welke bedrijfsprocessen worden geraakt
Documenteer de getroffen diensten.
-
Beoordeel de toegang van de derde partij
Review:
- Gebruikersaccounts
- Service accounts
- API-integraties
- OAuth-applicaties
- Federatierelaties
- Geprivilegieerde toegang
- Beheertoegang
Stel vast:
- Actieve toegangspaden
- Risicovolle toegang
- Te ruime rechten
Documenteer de bevindingen.
-
Beoordeel de blootstelling van data
Stel vast of de derde partij toegang heeft tot:
- Klantgegevens
- Medewerkersgegevens
- Financiële gegevens
- Intellectueel eigendom
- Broncode
- Securitytelemetrie
- Authenticatiesystemen
Documenteer:
- Soorten data
- Classificatieniveaus van de data
- Blootstellingsrisico
-
Review de authenticatieactiviteit
Review:
- Recente authenticaties
- Mislukte authenticatiepogingen
- Beheeraanmeldingen
- API-activiteit
- Gefedereerde toegang
- Ongebruikelijke aanmeldpatronen
Stel verdachte activiteit vast die bij de derde partij hoort.
-
Review de auditlogs
Review:
- Cloud-auditlogs
- SaaS-auditlogs
- Logs van beheeractiviteit
- Configuratiewijzigingen
- Wijzigingen in rechten
- Activiteit van service accounts
Stel bewijs vast van:
- Ongeautoriseerde toegang
- Verdachte wijzigingen
- Onverwachte activiteit
-
Beoordeel de impact op de organisatie
Stel vast:
- Getroffen systemen
- Getroffen gebruikers
- Getroffen bedrijfsfuncties
- Gevolgen voor regelgeving
- Operationeel risico
- Complexiteit van het herstel
Ken een impactscore toe.
-
Stel vast wat de containment vereist
Beoordeel of:
- De toegang van de derde partij moet worden opgeschort
- Service accounts moeten worden uitgeschakeld
- Tokens moeten worden ingetrokken
- API-sleutels moeten worden geroteerd
- Integraties moeten worden uitgeschakeld
Documenteer de aanbevelingen.
-
Werk het incidentrecord bij
Leg vast:
- Gegevens van de derde partij
- Beoordeling van de blootstelling
- Bevindingen uit de toegangsreview
- Impactbeoordeling
- Aanbevelingen voor containment
Voeg ondersteunend bewijs toe.
3. Na afloop
Na afronding:
- Zorg dat de beoordeling van de blootstelling is vastgelegd
- Zorg dat de getroffen systemen zijn vastgesteld
- Zorg dat de toegangsrelaties zijn gereviewd
- Zorg dat de aanbevelingen voor containment zijn vastgelegd
- Zorg dat het incidentticket is bijgewerkt
Bijdrager
Vishal Thakur GitHub: https://github.com/malienist
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.