RB-ANALYSIS-036: Onderzoek naar een gecompromitteerde mailbox

Documentbeheer

1. Vereisten

• Bevestigde of vermoedelijke compromittering van een mailbox
• Toegang tot de auditlogs van het e-mailplatform
• Toegang tot de SIEM
• Toegang tot de IdP-logs
• Toegang tot tools voor mailboxbeheer

2. Stap-voor-stap-instructies

1. Stel de getroffen mailbox vast

   • Bevestig de eigenaar van de mailbox en de accountgegevens.

2. Stel de tijdlijn vast

   • Stel vast:
     • De eerste compromittering
     • De eerste verdachte activiteit
     • De meest recente verdachte activiteit

3. Review de authenticatieactiviteit

   • Review:
     • Aanmeldgebeurtenissen
     • MFA-gebeurtenissen
     • Geografische afwijkingen
     • Apparaatgegevens

4. Review de toegang tot de mailbox

   • Stel vast:
     • Aanmeldingen op de mailbox
     • Toegang door gemachtigden
     • Beheertoegang

5. Review de e-mailactiviteit

   • Review:
     • Verzonden berichten
     • Verwijderde berichten
     • Concepten
     • Zoekopdrachten in berichten

6. Review de configuratiewijzigingen

   • Review:
     • Inbox rules
     • Doorsturen van e-mail
     • Gemachtigden
     • OAuth-grants

7. Stel de doelen van de aanvaller vast

   • Stel vast:
     • Fraudepogingen
     • Verzamelen van data
     • Lateral movement
     • Persistence

8. Beoordeel de scope

   • Stel vast welke getroffen:
     • Mailboxen
     • Gebruikers
     • Bedrijfsonderdelen

9. Documenteer de bevindingen

   • Stel een samenvatting van het onderzoek op.

10. Escaleer en draag over

    • Geef de bevindingen door aan de containmentteams.
    • Werk het incidentrecord bij.

3. Na afloop

• Bewaar de mailboxartefacten.
• Documenteer de tijdlijn en de bevindingen.
• Voeg het bewijs toe aan het incidentrecord.

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.