RB-ANALYSIS-033: Beoordeling van blootstelling van data op een apparaat

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Beoordeling van blootstelling van data op een apparaat
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Incident met een verloren of gestolen apparaat
Afgeronde validatie van het verloren of gestolen apparaat
Afgeronde beoordeling van de beveiligingsstatus van het apparaat
Toegang tot de assetinventaris
Toegang tot endpoint-telemetrie
Toegang tot het MDM-platform
Toegang tot de standaarden voor dataclassificatie
Toegang tot gegevens van de getroffen gebruiker
Incidentticket aangemaakt

2. Stap-voor-stap-instructies

Stel de eigenaar en het gebruik van het apparaat vast
- Stel vast:
  - Toegewezen gebruiker
  - Bedrijfsonderdeel
  - Rol
  - Privilegeniveau
- Documenteer de bevindingen.
Stel vast welke databronnen vanaf het apparaat bereikbaar zijn
- Review de toegang tot:
  - Fileshares
  - SaaS-platforms
  - Cloudopslag
  - Databases
  - Interne applicaties
- Documenteer de bereikbare resources.
Beoordeel de lokale dataopslag
- Stel vast of het apparaat het volgende bewaart:
  - Lokale bestanden
  - Gecachete bestanden
  - Offline gesynchroniseerde data
  - E-maildata
  - Applicatiedata
- Documenteer de mogelijke blootstellingspunten.
Review de blootstelling per dataclassificatie
- Stel vast of het apparaat mogelijk het volgende bevat:
  - Openbare data
  - Interne data
  - Vertrouwelijke data
  - Beperkt toegankelijke data
  - Gereguleerde data
- Documenteer de betrokken classificaties.
Beoordeel de blootstelling van credentials
- Stel vast:
  - Opgeslagen credentials
  - In de browser opgeslagen wachtwoorden
  - Authenticatietokens
  - Certificaten
  - VPN-credentials
- Documenteer de mogelijke blootstelling van credentials.
Beoordeel de blootstelling van geprivilegieerde toegang
- Stel vast of de gebruiker beschikt over:
  - Beheerrechten
  - Toegang tot productie
  - Beheertoegang tot de cloud
  - Beheertoegang tot security
- Documenteer de bevindingen.
Review de beveiligingsmaatregelen
- Beoordeel:
  - Volledige schijfversleuteling
  - Schermvergrendeling
  - MDM-bescherming
  - EDR-bescherming
- Stel vast hoe effectief de maatregelen blootstelling tegengaan.
Stel de mogelijke bedrijfsimpact vast
- Beoordeel:
  - Risico op blootstelling van data
  - Operationeel risico
  - Risico rond regelgeving
  - Reputatierisico
- Documenteer de totale impactbeoordeling.
Stel een samenvatting van de blootstelling op
- Vat samen:
  - Mogelijk blootgestelde data
  - Mogelijk blootgestelde credentials
  - Mogelijk blootgestelde systemen
  - Risiconiveau
- Bereid de bevindingen voor stakeholders voor.
Escaleer en draag over
- Geef de bevindingen door aan de Incident Commander en de Technical Lead.
- Escaleer naar:
  - Responsactiviteiten voor data-exfiltratie
  - Containment-activiteiten voor accounts
  - Toetsing rond regelgeving (indien vereist)
- Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

Zorg dat alle vastgestelde blootstellingsrisico's zijn vastgelegd.
Leg de getroffen systemen en datasets vast.
Bewaar ondersteunend bewijs en beoordelingsresultaten.
Voeg de afgeronde beoordeling toe aan het incidentrecord.
Ondersteun zo nodig de containment- en recovery-activiteiten.
Neem zo nodig deel aan de post-incidentreview.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.