RB-ANALYSIS-042: Threat intelligence-beoordeling van een kwetsbaarheid

Documentbeheer

1. Vereisten

• Afgeronde validatie van de kwetsbaarheid
• CVE-, advisory- of bevindingsnummer beschikbaar
• Toegang tot threat intelligence-platforms
• Toegang tot commerciële threat intelligence-feeds (indien beschikbaar)
• Toegang tot open-source threat intelligence-bronnen
• Toegang tot kwetsbaarheidsdatabases
• Toegang tot de SIEM
• Toegang tot het vulnerability management-platform
• Incident- of registratieticket aangemaakt

2. Stap-voor-stap-instructies

1. Review de details van de kwetsbaarheid

   • Verzamel:
     • CVE-nummer
     • Advisory van de leverancier
     • CVSS-score
     • Beschrijving van de kwetsbaarheid
     • Voorwaarden voor exploitatie
   • Documenteer de belangrijkste kenmerken van de kwetsbaarheid.

2. Review openbare threat intelligence

   • Review:
     • CVE-databases
     • Security advisories
     • Threat intelligence-rapporten
     • Publicaties van securityonderzoekers
   • Documenteer relevante bevindingen.

3. Stel de beschikbaarheid van exploits vast

   • Beoordeel of:
     • Er openbare proof-of-concept-code is
     • Er werkende exploitcode is
     • Er Metasploit-modules zijn
     • Exploit kits de kwetsbaarheid bevatten
   • Documenteer de bevindingen.

4. Stel actieve exploitatie vast

   • Stel vast of:
     • Actieve exploitatie is gemeld
     • Er lopende exploitatiecampagnes zijn
     • Threat actors de kwetsbaarheid aanvallen
     • Er massale scanactiviteit is waargenomen
   • Documenteer de bevindingen.

5. Stel de threat actors vast

   • Review rapportages om vast te stellen:
     • Gebruik door bekende threat actors
     • Activiteit van ransomwaregroepen
     • Activiteit van statelijke actoren
     • Criminele exploitatie
   • Documenteer de bijbehorende threat actors.

6. Beoordeel de doelen van aanvallers

   • Stel vast of exploitatie meestal leidt tot:
     • Remote code execution
     • Credential theft
     • Initial access
     • Privilege escalation
     • Data-exfiltratie
     • Uitrol van ransomware
   • Documenteer de te verwachten doelen van aanvallers.

7. Beoordeel het aanvallen van sectoren

   • Stel vast of:
     • Specifieke sectoren worden aangevallen
     • Vergelijkbare organisaties zijn getroffen
     • Er sectorspecifieke campagnes actief zijn
   • Documenteer de bevindingen.

8. Ken een dreigingsscore toe

   • Beoordeel:
     • Beschikbaarheid van exploits
     • Status van actieve exploitatie
     • Interesse van threat actors
     • Kans op exploitatie
   • Ken een dreigingsscore en betrouwbaarheidsniveau toe.

9. Stel een samenvatting van de intelligence op

   • Vat samen:
     • Status van actieve exploitatie
     • Activiteit van threat actors
     • Beschikbaarheid van exploits
     • Relevantie voor de sector
     • Totale dreigingsbeoordeling
   • Stel aanbevelingen voor stakeholders op.

10. Escaleer en draag over

    • Geef de bevindingen door aan de Incident Commander en de Technical Lead.
    • Escaleer naar:
      • Exploitation Verification
      • Vulnerability Exposure Reduction
      • Responsactiviteiten voor actieve exploitatie (indien vereist)
    • Werk het incidentrecord bij met alle bevindingen.

3. Na afloop

• Zorg dat alle intelligence-bronnen zijn vastgelegd.
• Bewaar ondersteunende intelligence-rapporten en verwijzingen.
• Leg dreigingsscores en betrouwbaarheidsniveaus vast.
• Voeg de intelligence-beoordeling toe aan het incidentrecord.
• Werk risicobeoordelingen bij zodra nieuwe intelligence beschikbaar komt.
• Ondersteun zo nodig de herstel- en containment-activiteiten.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.