RB-ANALYSIS-034: Analyse van exploitatieactiviteit

Documentbeheer

1. Vereisten

• Vermoedelijke of bevestigde exploitatie
• Getroffen asset, dienst, endpoint of workload vastgesteld
• Onderzoeksvenster bepaald
• Toegang tot relevante telemetrie van applicatie, host, netwerk, identity, cloud en SIEM
• Bekende kwetsbaarheid, exploitindicator, alert, request, proces of gebeurtenis die de analyse in gang zette

2. Stap-voor-stap-instructies

1. Bepaal de scope van de analyse

   • Leg het getroffen asset, de blootgestelde dienst, de vermoedelijke kwetsbaarheid of zwakte, de bronindicatoren en het onderzoeksvenster vast.
   • Neem de periodes vóór, tijdens en na de exploitatie mee.

2. Stel de eerste exploitgebeurtenis vast

   • Zoek de vroegste gebeurtenis die bij exploitatie past.
   • Leg tijdstip, bron, doel, endpoint/dienst, payload, request, commando, proces, alert of logregel vast.

3. Stel de exploitatiemethode vast

   • Stel vast of de activiteit gebruikmaakte van een kwetsbaarheid, misconfiguratie, zwakke credential, blootgestelde interface, onveilige bestandsupload, injectie, deserialisatie, SSRF, path traversal of een andere zwakte.
   • Leg het bewijs voor de methode vast.

4. Beoordeel of de exploit is geslaagd

   • Stel vast of de exploitatie is mislukt, deels geslaagd, geslaagd of nog onbeslist is.
   • Zoek naar gewijzigde responses, fouten, nieuwe processen, geschreven bestanden, aangemaakte sessies, gewijzigde privileges, uitgevoerde commando's, callbacks of toegang tot data.

5. Stel de eerste actie na exploitatie vast

   • Stel de eerste bevestigde actie na de exploitatie vast.
   • Classificeer die als uitvoering van commando's, verkenning, persistence, credential access, privilege escalation, lateral movement, datatoegang, staging, exfiltratie of opruimen.

6. Correleer host- en runtime-activiteit

   • Review procesbomen, command lines, scriptuitvoering, geschreven bestanden, wijzigingen aan services, scheduled tasks, containers, serverless-uitvoering en runtime-logs.
   • Scheid activiteit die door de exploit is veroorzaakt van niet-gerelateerde achtergrondactiviteit.

7. Correleer netwerk- en callbackactiviteit

   • Review inkomend exploitverkeer, uitgaande callbacks, DNS-lookups, C2-patronen, reverse shells, ongebruikelijke protocollen en externe bestemmingen.
   • Koppel de netwerkactiviteit terug aan het geëxploiteerde asset en de tijdlijn.

8. Correleer identity- en toegangsactiviteit

   • Review aanmeldingen, sessies, tokens, API-sleutels, service accounts, wijzigingen in privileges en mislukte toegang rond het exploitvenster.
   • Stel vast of de exploitatie credentials of sessies heeft aangemaakt, gestolen of hergebruikt.

9. Breng gerelateerde activiteit in kaart

   • Zoek naar dezelfde payloads, commando's, bron-IP's, user-agents, bestandsnamen, hashes, accounts, endpoints en bestemmingen op gerelateerde assets en in historische logs.
   • Stel andere getroffen assets, accounts, diensten of dataopslag vast.

10. Leg de analyse-uitkomst vast

    • Documenteer de exploitatiemethode, of de exploit is geslaagd, het betrouwbaarheidsniveau, de eerste actie na exploitatie, de tijdlijn van de aanvaller, getroffen assets, getroffen accounts, indicatoren en verwijzingen naar bewijs.
    • Maak een duidelijk onderscheid tussen bevestigde feiten, waarschijnlijke conclusies en open vragen.

3. Na afloop

• Bewaar ondersteunend bewijs en analyseartefacten.
• Voeg de tijdlijn, indicatoren, het betrouwbaarheidsniveau en de bevindingen toe aan het incidentrecord.
• Documenteer de gaten in containment, herstel, monitoring en detectie die tijdens de analyse zijn vastgesteld.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.