RB-ANALYSIS-040: Kwetsbare assets vaststellen

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Kwetsbare assets vaststellen
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Afgeronde validatie van de kwetsbaarheid
Afgeronde beoordeling van de blootstelling aan de kwetsbaarheid
CVE-, advisory- of bevindingsnummer beschikbaar
Toegang tot het vulnerability management-platform
Toegang tot de assetinventaris
Toegang tot de CMDB (indien beschikbaar)
Toegang tot de inventaris van cloudassets
Toegang tot het platform voor endpointbeheer
Toegang tot de SIEM
Incident- of registratieticket aangemaakt

2. Stap-voor-stap-instructies

Review de scope van de kwetsbaarheid
- Review:
  - CVE-nummer
  - Getroffen producten
  - Getroffen versies
  - Voorwaarden voor de kwetsbaarheid
- Documenteer de getroffen technologieën.
Bevraag het vulnerability management-platform
- Zoek naar:
  - Bestaande bevindingen over de kwetsbaarheid
  - Overeenkomende softwareversies
  - Overeenkomende besturingssystemen
  - Overeenkomende diensten
- Exporteer waar mogelijk de relevante bevindingen.
Review de assetinventaris
- Stel de assets vast waarop draaien:
  - Getroffen besturingssystemen
  - Getroffen applicaties
  - Getroffen diensten
  - Getroffen cloud-workloads
- Documenteer de kandidaat-assets.
Review de cloudomgevingen
- Stel vast:
  - Virtuele machines
  - Containers
  - Serverless functions
  - Managed services
- Stel vast of kwetsbare software aanwezig is.
Review de endpointpopulatie
- Doorzoek de endpointinventaris op:
  - Geïnstalleerde software
  - Softwareversies
  - Configuratiegegevens
- Stel de getroffen endpoints vast.
Review de assets die aan internet hangen
- Stel vast:
  - Publieke applicaties
  - Publieke diensten
  - Externe infrastructuur
  - Publieke cloudresources
- Geef voorrang aan blootgestelde assets.
Valideer de status van de assets
- Bevestig:
  - Eigenaar van het asset
  - Bedrijfsfunctie
  - Productiestatus
  - Operationele status
- Verwijder waar passend false positives.
Ken kritiek toe aan de assets
- Stel vast:
  - Bedrijfskritiek
  - Gevoeligheid van de data
  - Beschikbaarheidseisen
  - Mate van blootstelling
- Stel prioriteiten voor het herstel.
Stel een inventaris van kwetsbare assets op
- Leg vast:
  - Hostnaam
  - IP-adres
  - Eigenaar van het asset
  - Bedrijfsonderdeel
  - Kritiek van het asset
  - Status van de kwetsbaarheid
- Stel de definitieve assetlijst op.
Escaleer en draag over
- Geef de bevindingen door aan de Incident Commander en de Technical Lead.
- Escaleer naar:
  - Exploitation Verification
  - Vulnerability Exposure Reduction
  - Herstelactiviteiten
- Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

Zorg dat alle getroffen assets zijn vastgelegd.
Zorg dat eigenaarschap en kritiek van de assets zijn vastgelegd.
Bewaar de resultaten van kwetsbaarheidsscans en ondersteunend bewijs.
Documenteer vastgestelde false positives.
Voeg de inventaris van kwetsbare assets toe aan het incidentrecord.
Ondersteun zo nodig de containment- en herstelactiviteiten.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.