RB-ANALYSIS-028: Analyse van de impact op de supply chain
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | Analyse van de impact op de supply chain | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
Zorg voordat je met dit runbook begint voor het volgende:
- Een compromittering van de supply chain is vastgesteld of gemeld
- Er is een incidentticket aangemaakt
- De getroffen leverancier, software of dependency is vastgesteld
- Er is een assetinventaris beschikbaar
- Er is een software-inventaris beschikbaar
- Er zijn cloud- en SaaS-inventarissen beschikbaar
- De zakelijke eigenaar is vastgesteld
2. Stap-voor-stap-instructies
-
Stel het getroffen onderdeel van de supply chain vast
Stel vast:
- Naam van de leverancier
- Productnaam
- Productversie
- Naam van de dependency
- Type integratie
- Uitrolmodel
Stel vast of het probleem betrekking heeft op:
- Een softwareleverancier
- Een SaaS-provider
- Een cloudprovider
- Een managed service provider
- Een open-source dependency
- Een hardwareleverancier
Documenteer de bevindingen.
-
Verzamel openbaar beschikbare informatie
Verzamel:
- Advisory van de leverancier
- Security bulletin
- CVE-verwijzingen
- Communicatie van de leverancier
- Threat intelligence-rapportages
- Bekende indicators of compromise
Stel vast:
- Aard van de compromittering
- Aanvalsvector
- Bekende activiteit van de aanvaller
- Gepubliceerde richtlijnen over de impact
Documenteer de bevindingen.
-
Stel de blootstelling van de organisatie vast
Review:
- Assetinventaris
- Endpointinventaris
- Serverinventaris
- Cloudinventaris
- SaaS-inventaris
- Ontwikkelomgevingen
Stel vast:
- Getroffen systemen
- Getroffen bedrijfsonderdelen
- Getroffen gebruikers
- Getroffen omgevingen
Documenteer alle getroffen assets.
-
Stel de blootstelling per versie vast
Review:
- Geïnstalleerde versies
- Draaiende versies
- Uitroldata
- Updategeschiedenis
- Configuratiedetails
Stel vast:
- Kwetsbare versies
- Ondersteunde versies
- Gepatchte versies
- Niet-ondersteunde versies
Documenteer de bevindingen.
-
Review de vertrouwensrelaties
Beoordeel:
- API-integraties
- Service accounts
- Federatierelaties
- OAuth-integraties
- Toegangspaden van de leverancier
- Beheertoegang
Stel vast:
- Directe vertrouwensrelaties
- Indirecte vertrouwensrelaties
- Geprivilegieerde toegangspaden
Documenteer de bevindingen.
-
Beoordeel de mogelijke impact
Stel vast of de compromittering kan leiden tot:
- Remote code execution
- Credential theft
- Blootstelling van data
- Privilege escalation
- Uitrol van malware
- Verspreiding van malware via de supply chain
- Misbruik van beheertoegang
Ken een impactscore toe.
-
Review de beschikbare telemetrie
Review:
- Authenticatielogs
- EDR-telemetrie
- Cloud-auditlogs
- SaaS-auditlogs
- Beheeractiviteit
- Netwerkactiviteit
Zoek naar:
- Indicators of compromise
- Verdachte toegang
- Onverwachte wijzigingen
- Verdachte uitvoering
Documenteer de bevindingen.
-
Stel vast of de scope moet worden uitgebreid
Beoordeel of aanvullend onderzoek nodig is naar:
- Afhankelijkheden verderop in de keten
- Gekoppelde leveranciers
- Omgevingen van partners
- Gedeelde infrastructuur
- Gedeelde credentials
- Gedeelde integraties
Vergroot de scope van het onderzoek waar nodig.
-
Beveel responsacties aan
Stel vast of je:
- Integraties moet uitschakelen
- De toegang van de leverancier moet beperken
- Getroffen systemen moet patchen
- Credentials moet roteren
- Tokens moet intrekken
- Systemen moet isoleren
- Aanvullende playbooks moet activeren
Documenteer de aanbevelingen.
-
Werk het incidentrecord bij
Leg vast:
- Getroffen producten
- Getroffen assets
- Beoordeling van de blootstelling
- Review van de vertrouwensrelaties
- Bevindingen uit de telemetrie
- Aanbevolen acties
- Escalatiebesluiten
Voeg ondersteunend bewijs toe.
3. Na afloop
Na afronding:
- Zorg dat de getroffen assets zijn vastgesteld
- Zorg dat de kwetsbare versies zijn vastgelegd
- Zorg dat de vertrouwensrelaties zijn gereviewd
- Zorg dat de impactbeoordeling is afgerond
- Zorg dat de aanbevolen responsacties zijn vastgelegd
- Zorg dat het incidentticket is bijgewerkt
Bijdrager
Vishal Thakur GitHub: https://github.com/malienist
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.