RB-ANALYSIS-031: DDoS-attributie & dreigingsbeoordeling

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	DDoS-attributie & dreigingsbeoordeling
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Zorg voordat je met dit runbook begint voor het volgende:

De DDoS-activiteit is bevestigd
Er is een incidentticket aangemaakt
De analyse van het DDoS-verkeer is afgerond
De beoordeling van de impact op diensten is afgerond
Er is netwerktelemetrie beschikbaar
Er zijn threat intelligence-bronnen beschikbaar
Relevante logs en bewijsmateriaal zijn bewaard

2. Stap-voor-stap-instructies

Review de kenmerken van de aanval

Review:
- Type aanval
- Duur van de aanval
- Volume van de aanval
- Aangevallen assets
- Verkeerspatronen
- Betrokken protocollen
- Effectiviteit van de mitigatie
Stel kenmerken vast die kunnen helpen bij attributie.

Documenteer de bevindingen.
Analyseer de broninfrastructuur

Review:
- Bron-IP-adressen
- Autonomous System Numbers (ASN's)
- Hostingproviders
- Cloudproviders
- Geografische spreiding
- Indicatoren van botnets
Stel vast:
- Geconcentreerde infrastructuur
- Verspreide infrastructuur
- Terugkerende infrastructuur
Documenteer de bevindingen.
Review historische activiteit

Stel vast of:
- Er eerder vergelijkbare aanvallen zijn geweest
- Er eerder vergelijkbare infrastructuur is gezien
- Er eerder vergelijkbare doelwitkeuze is gezien
- Er eerder vergelijkbare aanvalspatronen zijn vastgesteld
Review:
- Eerdere incidenten
- Threat intelligence-rapporten
- Rapportages uit de sector
Documenteer de bevindingen.
Beoordeel de threat intelligence

Review:
- Interne threat intelligence
- Commerciële intelligence-feeds
- Uitwisselingsgemeenschappen in de sector
- Advisories van de overheid
- Open-source intelligence
Stel vast:
- Bekende threat actors
- Bekende botnets
- Bekende campagnes
- Relevante indicatoren
Documenteer de bevindingen.
Beoordeel het mogelijke motief

Beoordeel of de aanval past bij:
- Financiële afpersing
- Verstoring door concurrenten
- Hacktivisme
- Opportunistische activiteit
- Criminele activiteit
- Geopolitieke activiteit
- Afleidingsoperaties
Documenteer de beoordeling.
Review indicatoren van afpersing

Controleer op:
- Afpersingsmails
- Dreigende berichten
- Losgeldeisen
- Anonieme berichten
- Dreigingen gericht aan klanten
- Dreigingen via sociale media
Stel vast of er financiële eisen aan de aanval gekoppeld zijn.

Documenteer de bevindingen.
Beoordeel secundaire aanvalsdoelen

Controleer op bewijs van:
- Compromittering van accounts
- Privilege escalation
- Lateral movement
- Compromittering van de cloud
- Toegang tot data
- Data-exfiltratie
- Verdachte beheeractiviteit
Stel vast of de DDoS-aanval mogelijk bedoeld is om:
- Verdedigers af te leiden
- Kwaadaardige activiteit te verhullen
- Een grotere aanvalscampagne te ondersteunen
Documenteer de bevindingen.
Beoordeel de betekenis van de doelwitkeuze

Stel vast of de aanval zich lijkt te richten op:
- Specifieke applicaties
- Specifieke bedrijfsonderdelen
- Specifieke klantgroepen
- Specifieke regio's
- Kritieke infrastructuur
- Diensten voor de directie
- Omzetgenererende systemen
Stel mogelijke doelen van de aanvaller vast.

Documenteer de bevindingen.
Stel vast welke escalaties nodig zijn

Als het bewijs wijst op aanvullende activiteit van de aanvaller:

Activeer:
- PB-004 Account Takeover
- PB-005 Data Exfiltration
- PB-007 Cloud Compromise
- PB-009 Privilege Escalation
- PB-010 Lateral Movement
Escaleer de bevindingen naar:
- De Incident Commander
- De securityleiding
- Het threat intelligence-team
- Waar passend de directie
Documenteer de escalatiebesluiten.
Werk het incidentrecord bij

Leg vast:
- Beoordeling van de attributie
- Bevindingen uit threat intelligence
- Mogelijke motieven
- Indicatoren van afpersing
- Indicatoren van secundaire aanvallen
- Escalatiebesluiten
- Beoordeling van de betrouwbaarheid
Voeg ondersteunend bewijs toe.

3. Na afloop

Na afronding:

Zorg dat de attributiebevindingen zijn vastgelegd
Zorg dat de threat intelligence-bevindingen zijn vastgelegd
Zorg dat de indicatoren van afpersing zijn beoordeeld
Zorg dat secundaire aanvalsdoelen zijn beoordeeld
Zorg dat de escalatiebesluiten zijn vastgelegd
Zorg dat ondersteunend bewijs is toegevoegd
Zorg dat het incidentticket is bijgewerkt

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.