RB-ANALYSIS-041: Verificatie van exploitatie

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Verificatie van exploitatie
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Een alert, melding of indicator van vermoedelijke exploitatie
De getroffen kwetsbaarheid, zwakte, asset, dienst, endpoint of workload is vastgesteld
Het tijdvenster van de vermoedelijke activiteit is bepaald
Toegang tot relevante logs en telemetrie
Context over de kwetsbaarheid of exploit is beschikbaar

2. Stap-voor-stap-instructies

Bepaal wat je verifieert
- Leg de kwetsbaarheid, zwakte, het asset, endpoint, de dienst, workload, alert, indicator en het tijdvenster vast die je verifieert.
Stel de te verwachten exploitindicatoren vast
- Maak een lijst van te verwachten exploitrequests, payloads, commando's, bestanden, procesactiviteit, authenticatiegebeurtenissen, fouten, callbacks of andere bekende indicatoren.
Zoek naar bewijs van pogingen
- Zoek naar inkomende requests, alerts, payloads, scans, probes, authenticatiepogingen of misvormde invoer die passen bij het te verwachten exploitgedrag.
Zoek naar bewijs van succes
- Zoek naar bewijs dat de exploit de systeemstatus heeft gewijzigd, toegang heeft gecreëerd, code heeft uitgevoerd, bestanden heeft geschreven, sessies heeft aangemaakt, data heeft benaderd, privileges heeft gewijzigd of callbacks heeft veroorzaakt.
Controleer de status van het getroffen asset
- Bevestig of het asset op het moment van de activiteit kwetsbaar was.
- Review versie, configuratie, blootstelling, compenserende maatregelen, patchstatus en bereikbaarheid.
Controleer de uitkomst van maatregelen
- Stel vast of WAF, EDR, IDS/IPS, applicatiemaatregelen, authenticatiemaatregelen of netwerkmaatregelen de activiteit hebben geblokkeerd, doorgelaten of deels geblokkeerd.
Sluit onschuldige verklaringen uit
- Controleer op toegestane tests, kwetsbaarheidsscans, health checks, verkeerd geconfigureerde clients, dubbele alerts, testverkeer of bekende false positives.
Classificeer de exploitatiestatus
- Classificeer als:
  - Geen bewijs van exploitatie
  - Alleen een exploitatiepoging
  - Vermoedelijk geslaagde exploitatie
  - Bevestigd geslaagde exploitatie
  - Lopende exploitatie
- Ken een betrouwbaarheidsniveau toe: laag, gemiddeld of hoog.
Leg het ondersteunende bewijs vast
- Leg de logs, alerts, tijdstippen, requests, payloads, maatregelen, assetstatus en redenering vast die de classificatie onderbouwen.
Leg de uitkomst van de verificatie vast
- Documenteer de definitieve exploitatiestatus, het betrouwbaarheidsniveau, het getroffen asset, de vermoedelijke kwetsbaarheid of zwakte, een samenvatting van het bewijs, aannames en open vragen.

3. Na afloop

Bewaar het bewijs dat het verificatiebesluit onderbouwt.
Voeg de verificatiestatus, het betrouwbaarheidsniveau en ondersteunende artefacten toe aan het incidentrecord.
Documenteer eventuele gaten in het bewijs of beperkingen van de telemetrie.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.