RB-ANALYSIS-039: Beoordeling van blootstelling aan een kwetsbaarheid

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Beoordeling van blootstelling aan een kwetsbaarheid
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Afgeronde validatie van de kwetsbaarheid
CVE-, advisory- of bevindingsnummer beschikbaar
Toegang tot het vulnerability management-platform
Toegang tot de assetinventaris
Toegang tot de CMDB (indien beschikbaar)
Toegang tot de cloudinventaris
Toegang tot de netwerkinventaris
Toegang tot tooling voor beheer van de blootstelling aan internet
Toegang tot de SIEM
Incident- of registratieticket aangemaakt

2. Stap-voor-stap-instructies

Review de details van de kwetsbaarheid
- Review:
  - CVE-nummer
  - Beschrijving van de kwetsbaarheid
  - CVSS-score
  - Advisory van de leverancier
  - Getroffen softwareversies
- Documenteer de belangrijkste kenmerken van de kwetsbaarheid.
Stel de voorwaarden voor blootstelling vast
- Stel vast:
  - Benodigde netwerktoegang
  - Benodigd authenticatieniveau
  - Of interactie van een gebruiker nodig is
  - Benodigde privileges
- Documenteer de voorwaarden voor exploitatie.
Stel de assets vast die aan internet hangen
- Review:
  - Het externe aanvalsoppervlak
  - Publieke IP-adressen
  - Applicaties die aan internet hangen
  - Publieke clouddiensten
- Stel mogelijk blootgestelde assets vast.
Stel de interne assets vast
- Review:
  - Interne applicaties
  - Interne diensten
  - Werkstations
  - Servers
  - Cloud-workloads
- Stel mogelijk getroffen assets vast.
Review de bestaande securitymaatregelen
- Stel vast of er maatregelen zijn zoals:
  - WAF-bescherming
  - Netwerksegmentatie
  - IPS-signaturen
  - Toegangscontroles
  - Application allow-listing
- Documenteer de bestaande mitigaties.
Beoordeel de bereikbaarheid
- Stel vast of de getroffen assets:
  - Vanaf internet bereikbaar zijn
  - Intern bereikbaar zijn
  - Alleen voor geprivilegieerde gebruikers bereikbaar zijn
  - Via derden bereikbaar zijn
- Documenteer de blootstellingspaden.
Beoordeel de bedrijfskritiek
- Review:
  - Kritiek van de assets
  - Zakelijk eigenaarschap
  - Gevoeligheid van de data
  - Operationeel belang
- Documenteer de getroffen bedrijfsfuncties.
Beoordeel de mogelijke impact
- Stel vast of geslaagde exploitatie kan leiden tot:
  - Remote code execution
  - Privilege escalation
  - Blootstelling van data
  - Verstoring van diensten
  - Lateral movement
- Documenteer de mogelijke impact.
Stel de beoordeling van de blootstelling op
- Vat samen:
  - Kwetsbare assets
  - Blootstellingspaden
  - Bestaande mitigaties
  - Bedrijfsimpact
  - Totaalscore voor de blootstelling
- Documenteer het betrouwbaarheidsniveau.
Escaleer en draag over
- Geef de bevindingen door aan de Incident Commander en de Technical Lead.
- Escaleer naar:
  - Vulnerable Asset Identification
  - Exploitation Verification
  - Vulnerability Exposure Reduction
- Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

Zorg dat alle blootgestelde assets zijn vastgelegd.
Zorg dat alle blootstellingspaden zijn vastgelegd.
Bewaar ondersteunend bewijs en beoordelingsgegevens.
Leg de bestaande securitymaatregelen en mitigaties vast.
Voeg de afgeronde beoordeling van de blootstelling toe aan het incidentrecord.
Ondersteun zo nodig de herstel- en containment-activiteiten.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.