RB-ANALYSIS-037: Analyse van mail forwarding & inbox rules

Documentbeheer

1. Vereisten

• Vermoedelijke of bevestigde compromittering van een mailbox
• Toegang tot het beheerplatform voor e-mail
• Toegang tot auditlogs
• Toegang tot de getroffen mailbox

2. Stap-voor-stap-instructies

1. Stel de mailbox binnen de scope vast

   • Bevestig de getroffen mailbox.

2. Review de inbox rules

   • Stel vast:
     • Regels die automatisch verwijderen
     • Regels die berichten verplaatsen
     • Doorstuurregels
     • Verborgen regels

3. Review de configuratie voor doorsturen

   • Review:
     • Intern doorsturen
     • Extern doorsturen
     • Doorstuurbestemmingen

4. Review de gedelegeerde toegang

   • Stel vast:
     • Gemachtigden
     • Toegang tot gedeelde mailboxen
     • Beheertoewijzingen

5. Review de configuratie van de mailflow

   • Review:
     • Transportregels
     • Wijzigingen in de routering
     • Doorstuurbeleid

6. Review het aanmaken van regels

   • Stel vast:
     • Tijdstip van aanmaken
     • Account dat de regel aanmaakte
     • Wijzigingsgeschiedenis

7. Stel verdachte bestemmingen vast

   • Beoordeel:
     • Externe adressen
     • Onbekende domeinen
     • Infrastructuur van de aanvaller

8. Beoordeel de blootstelling van data

   • Stel vast:
     • Welke data mogelijk is doorgestuurd
     • Hoe lang er is doorgestuurd
     • Welke communicatie is getroffen

9. Documenteer de bevindingen

   • Leg alle vastgestelde regels en doorstuuractiviteit vast.

10. Escaleer en draag over

    • Escaleer de bevindingen voor containment en recovery.
    • Werk het incidentrecord bij.

3. Na afloop

• Bewaar de artefacten van de mailboxconfiguratie.
• Documenteer de bevindingen en de beoordeling van de blootstelling.
• Voeg het bewijs toe aan het incidentrecord.

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.