RB-CONTAIN-001: Account blokkeren

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Account blokkeren
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

Identiteit van de gebruiker (e-mailadres / gebruikersnaam)
Sessie-/tokengegevens
MFA-status
Toegang tot de identity provider (IdP): Okta, Azure AD / Entra, Google Workspace

Beoordeel de status van de compromittering
- Stel vast of:
  - Credentials zijn ingevoerd
  - Er verdachte aanmeldactiviteit is
  - Er actieve sessies zijn
  - MFA is omzeild of er MFA fatigue is opgetreden
Schakel het account uit of blokkeer het
- Direct:
  - Schakel het gebruikersaccount uit OF
  - Dwing een wachtwoordreset af met een tijdelijke blokkade
- De gebruiker kan zich tijdens de containment niet aanmelden
Trek actieve sessies & tokens in
- Trek in:
  - Browsersessies
  - OAuth-tokens
  - Refresh tokens
  - Mobiele sessies
  - API-sessies
- Valideer dat het intrekken is gelukt.
Reset de credentials
- Dwing een wachtwoordreset af
- Eis een sterk wachtwoord
- Voorkom hergebruik van wachtwoorden (indien ondersteund)
Dwing opnieuw registreren van MFA af
- Reset de MFA-factoren
- Eis een nieuwe registratie
- Verwijder onbekende apparaten / authenticators

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.