RB-ANALYSIS-035: Getroffen assets vaststellen

Documentbeheer

1. Vereisten

• Bevestigde exploitatieactiviteit
• Toegang tot de SIEM
• Toegang tot de EDR
• Toegang tot de assetinventaris
• Toegang tot authenticatielogs
• Toegang tot netwerktelemetrie

2. Stap-voor-stap-instructies

1. Stel het eerst getroffen asset vast

   • Bevestig het oorspronkelijk getroffen systeem.
   • Documenteer de eigenaar en de bedrijfsfunctie.

2. Review gerelateerde verbindingen

   • Review:
     • Netwerkcommunicatie
     • Authenticatierelaties
     • Beheertoegang
   • Stel gerelateerde assets vast.

3. Stel andere hosts vast

   • Zoek naar:
     • Vergelijkbare indicatoren
     • Vergelijkbare activiteit
     • Gerelateerde communicatie
   • Documenteer de bevindingen.

4. Review de authenticatieactiviteit

   • Stel vast:
     • Gedeelde accounts
     • Beheertoegang
     • Indicatoren van lateral movement
   • Documenteer de bevindingen.

5. Review cloud- en SaaS-activiteit

   • Stel vast:
     • Gekoppelde assets
     • Cloudresources
     • SaaS-resources
   • Documenteer de bevindingen.

6. Review de assetinventaris

   • Stel vast:
     • Eigenaren van assets
     • Bedrijfsonderdelen
     • Kritiekheidsclassificaties
   • Documenteer de bevindingen.

7. Correleer de bevindingen

   • Correleer:
     • Endpoint-telemetrie
     • Authenticatieactiviteit
     • Netwerkactiviteit
   • Stel de volledige getroffen scope vast.

8. Beoordeel de bedrijfsimpact

   • Stel vast:
     • Kritieke systemen
     • Productiesystemen
     • Gevoelige omgevingen
   • Documenteer de impact.

9. Stel een assetinventaris op

   • Leg vast:
     • Hostnamen
     • IP-adressen
     • Eigenaren van assets
     • Bedrijfskritiek
   • Maak de lijst van getroffen assets definitief.

10. Escaleer en draag over

    • Geef de bevindingen door aan de containment- en recoveryteams.
    • Werk het incidentrecord bij.

3. Na afloop

• Zorg dat de inventaris van getroffen assets volledig is.
• Bewaar het bewijs dat de identificatie van de assets onderbouwt.
• Voeg de assetinventaris toe aan het incidentrecord.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.