RB-ANALYSIS-044: Analyse van een aanval op een webapplicatie

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Analyse van een aanval op een webapplicatie
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

De triage van de aanval op de webapplicatie is afgerond
Relevante logs van applicatie, edge, authenticatie, infrastructuur en database zijn verzameld
De getroffen app, endpoints, gebruikers en het tijdvenster zijn vastgesteld
De locaties van het bewijsmateriaal zijn gedocumenteerd

2. Stap-voor-stap-instructies

Bouw een tijdlijn
- Correleer logs van edge, applicatie, API-gateway, authenticatie, infrastructuur en database.
- Stel de verkenning, de eerste exploitpoging, het eerste verdachte succes, de vervolgactiviteit en de laatste activiteit vast.
Classificeer het aanvalspad
- Stel de primaire techniek vast: injectie, falende toegangscontrole, misbruik van sessies, credential stuffing, misbruik van bestandsuploads, path traversal, misbruik van API's, SSRF, deserialisatie of exploitatie van een bekende CVE.
Bevestig de exploitatiestatus
- Classificeer als geen bewijs, vermoedelijke exploitatie, bevestigde exploitatie of lopende exploitatie.
- Leg het ondersteunende bewijs vast.
Stel de getroffen identiteiten vast
- Review user-ID's, sessie-ID's, API-sleutels, OAuth-tokens, cookies, JWT's en service accounts die aan verdachte activiteit gekoppeld zijn.
Beoordeel de impact op data
- Stel vast welke records, objecten, bestanden, exports, API-responses en databasequery's tijdens het aanvalsvenster zijn benaderd.
- Markeer klant-, betaal-, credential-, gereguleerde of bedrijfseigen data.
Review wijzigingen en persistence
- Controleer uitrol, configuratiewijzigingen, beheeracties, wijzigingen in rechten, geüploade bestanden, web shells, jobs en toegang tot secrets.
Correleer aangrenzende activiteit
- Review activiteit op host, container, serverless, cloud control plane en identity als compromittering van de runtime of van credentials wordt vermoed.
Breng vergelijkbare activiteit in kaart
- Zoek naar dezelfde IP's, user-agents, payloads, endpoints, patronen van objecttoegang, accounts en tokens in apps en historische logs.
Documenteer de bevindingen
- Leg het type aanval, de tijdlijn, getroffen endpoints, getroffen gebruikers, getroffen data, indicatoren, het betrouwbaarheidsniveau en de bedrijfsimpact vast.
Leg de benodigde vervolgacties vast
- Markeer compromittering van accounts, blootstelling van data, exfiltratie, exploitatie van een bekende kwetsbaarheid of actieve aanwezigheid van een aanvaller.
- Documenteer aanbevelingen voor containment en open vragen in het incidentrecord.

3. Na afloop

Voeg de tijdlijn, bevindingen, getroffen endpoints, indicatoren en verwijzingen naar bewijs toe aan het incidentrecord.
Documenteer de gaten in containment, herstel, monitoring en detectie die tijdens de analyse zijn vastgesteld.

Bijdrager

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.