RB-ANALYSIS-029: Analyse van DDoS-verkeer
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | Analyse van DDoS-verkeer | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
Zorg voordat je met dit runbook begint voor het volgende:
- De DDoS-activiteit is gevalideerd
- Er is een incidentticket aangemaakt
- Er is netwerktelemetrie beschikbaar
- Er zijn firewalllogs beschikbaar
- Waar van toepassing is CDN-telemetrie beschikbaar
- Waar van toepassing zijn WAF-logs beschikbaar
- Waar van toepassing is telemetrie van de cloudprovider beschikbaar
- Waar van toepassing is NetFlow of vergelijkbare telemetrie beschikbaar
2. Stap-voor-stap-instructies
-
Stel de tijdlijn van de aanval vast
Stel vast:
- Begintijd van de aanval
- Tijdstip van detectie
- Periode met de piekactiviteit
- Huidige status van de aanval
- Duur van de aanval
Bouw een tijdlijn van de waargenomen activiteit.
Documenteer de bevindingen.
-
Stel de aangevallen assets vast
Stel vast:
- Aangevallen IP-adressen
- Aangevallen domeinen
- Aangevallen applicaties
- Aangevallen API's
- Aangevallen diensten
- Aangevallen netwerkinfrastructuur
Stel de primaire en secundaire doelwitten vast.
Documenteer de bevindingen.
-
Analyseer het verkeersvolume
Review:
- Totaal bandbreedtegebruik
- Packets per second (PPS)
- Requests per second (RPS)
- Gelijktijdige verbindingen
- Piekvolume van het verkeer
- Historische baselines
Stel de schaal van de aanval vast.
Documenteer de bevindingen.
-
Stel het type aanval vast
Stel vast of het gaat om:
- Volumetrische DDoS
- Protocol-DDoS
- DDoS op applicatielaag
- HTTP-flood
- HTTPS-flood
- DNS-flood
- SYN-flood
- UDP-flood
- Amplificatieaanval
- Reflectieaanval
- Multi-vectoraanval
Documenteer de classificatie van de aanval.
-
Analyseer de spreiding van de bronnen
Review:
- Bron-IP-adressen
- Autonomous System Numbers (ASN's)
- Geografische spreiding
- Hostingproviders
- Cloudproviders
- Indicatoren van botnets
Stel vast:
- Geconcentreerde aanvalsbronnen
- Verspreide aanvalsbronnen
- Indicatoren van spoofing
Documenteer de bevindingen.
-
Stel amplificatie- of reflectieactiviteit vast
Controleer op:
- DNS-amplificatie
- NTP-amplificatie
- SSDP-amplificatie
- CLDAP-amplificatie
- Memcached-amplificatie
- Reflectiegedrag
Stel vast:
- Betrokken amplifiers
- Reflectie-infrastructuur
- Mogelijke misbruikvectoren
Documenteer de bevindingen.
-
Analyseer de kenmerken van het verkeer
Review:
- Requestmethoden
- User-agents
- Headers
- Protocollen
- URI-patronen
- Verbindingsgedrag
- Sessiegedrag
Stel vast:
- Herhaalde requests
- Geautomatiseerd gedrag
- Botactiviteit
- Aanvalssignaturen
Documenteer de bevindingen.
-
Beoordeel de effectiviteit van de mitigatie
Review:
- Prestaties van het CDN
- Effectiviteit van de WAF
- Effectiviteit van rate limiting
- Effectiviteit van filtering
- Effectiviteit van upstream-mitigatie
Stel vast:
- De huidige mitigatiestatus
- De resterende impact van de aanval
- Benodigde aanvullende maatregelen
Documenteer de bevindingen.
-
Beoordeel secundaire indicatoren
Controleer op:
- Gelijktijdige afwijkingen in authenticatie
- Pogingen tot privilege escalation
- Afwijkingen in cloudactiviteit
- Afwijkingen in datatoegang
- Verdachte beheeractiviteit
Stel vast of de DDoS-activiteit mogelijk een ander aanvalsdoel ondersteunt.
Escaleer waar passend.
-
Werk het incidentrecord bij
Leg vast:
- Tijdlijn van de aanval
- Aangevallen assets
- Verkeersvolumes
- Classificatie van de aanval
- Bronanalyse
- Effectiviteit van de mitigatie
- Secundaire waarnemingen
Voeg ondersteunend bewijs toe.
3. Na afloop
Na afronding:
- Zorg dat de classificatie van de aanval is vastgelegd
- Zorg dat de aangevallen assets zijn vastgesteld
- Zorg dat de bronanalyse is afgerond
- Zorg dat de effectiviteit van de mitigatie is beoordeeld
- Zorg dat secundaire aanvalsindicatoren zijn gereviewd
- Zorg dat ondersteunend bewijs is toegevoegd
- Zorg dat het incidentticket is bijgewerkt
Bijdrager
Vishal Thakur GitHub: https://github.com/malienist
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.