RB-ANALYSIS-032: Beoordeling van de security posture van een apparaat

Documentbeheer

1. Vereisten

• Incident met een verloren of gestolen apparaat
• Afgeronde validatie van het verloren of gestolen apparaat
• Toegang tot het MDM-platform
• Toegang tot het EDR-platform
• Toegang tot de assetinventaris
• Toegang tot de identity provider (IdP)
• Toegang tot de registratie van apparaatbeheer
• Identificatie van het apparaat beschikbaar:
  • Hostnaam
  • Serienummer
  • Assettag
  • Identificatie van het mobiele apparaat
• Incidentticket aangemaakt

2. Stap-voor-stap-instructies

1. Stel de apparaatgegevens vast

   • Bevestig:
     • Type apparaat
     • Eigenaar van de asset
     • Besturingssysteem
     • Beheerstatus van het apparaat
   • Documenteer de apparaatgegevens.

2. Valideer de registratiestatus van het apparaat

   • Stel vast of het apparaat is opgenomen in:
     • MDM
     • EDR
     • Systemen voor assetmanagement
   • Documenteer de dekking van het beheer.

3. Review de versleutelingsstatus

   • Verifieer:
     • Status van volledige schijfversleuteling
     • Gebruikte versleutelingstechnologie
     • Status van de escrow van de versleutelingssleutel
   • Documenteer de bevindingen.

4. Review de beveiligingsmaatregelen op het endpoint

   • Stel vast of het apparaat heeft:
     • EDR-bescherming
     • Antivirusbescherming
     • Een ingeschakelde firewall
     • Beleid voor device control
     • Beleid voor application control
   • Documenteer de aanwezige beveiligingsmaatregelen.

5. Review de authenticatiemaatregelen

   • Stel vast:
     • MFA-vereisten
     • Vertrouwensstatus van het apparaat
     • Beleid voor conditional access
     • Gebruik van geprivilegieerde accounts
   • Documenteer de authenticatiebescherming.

6. Review de mogelijkheden voor beheer op afstand

   • Verifieer de beschikbaarheid van:
     • Vergrendelen op afstand
     • Wissen op afstand
     • Locatiebepaling van het apparaat
     • Intrekken van toegang op afstand
   • Stel de beschikbare containment-opties vast.

7. Review de compliancestatus

   • Stel vast of het apparaat voldoet aan:
     • Security baselines
     • Patchvereisten
     • Versleutelingsvereisten
     • Vereisten voor apparaatbeheer
   • Documenteer bevindingen over non-compliance.

8. Beoordeel het beveiligingsrisico

   • Beoordeel:
     • De kans op compromittering
     • De kans op blootstelling van data
     • De effectiviteit van de bestaande maatregelen
     • Of het apparaat op afstand kan worden ingedamd
   • Ken een risicoscore toe.

9. Stel de aanbevolen acties vast

   • Stel de benodigde acties vast, waaronder:
     • Containment van accounts
     • Intrekken van sessies
     • Vergrendelen op afstand
     • Wissen op afstand
     • Aanvullend onderzoek
   • Documenteer de aanbevelingen.

10. Escaleer en draag over

    • Geef de bevindingen door aan de Incident Commander en de Technical Lead.
    • Escaleer naar:
      • Device Data Exposure Assessment
      • Remote Device Lock & Wipe
      • Containment-activiteiten voor accounts
    • Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

• Zorg dat alle beveiligingsmaatregelen van het apparaat zijn vastgelegd.
• Zorg dat de versleutelingsstatus is vastgelegd.
• Documenteer alle vastgestelde gaten in de beveiliging.
• Voeg de beoordelingsbevindingen toe aan het incidentrecord.
• Bewaar waar van toepassing ondersteunend bewijs en screenshots.
• Zorg dat de aanbevolen containment-acties tot afronding worden gevolgd.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.