RB-CONTAIN-002: Snelle containment & netwerksegmentatie
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | Snelle containment & netwerksegmentatie | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
- EDR-alerts
- Lijst van getroffen hosts
- Netwerktelemetrie
- Toegang tot het EDR-platform
- Toegang tot het firewallbeheer
- Toegang tot het NAC- / segmentatieplatform
- Toegang tot Active Directory
- Toegang tot het virtualisatieplatform
2. Stap-voor-stap-instructies
-
Stel de actief getroffen systemen vast
- Stel vast:
- Systemen die nu aan het versleutelen zijn
- Systemen die communiceren met ransomware-infrastructuur
- Getroffen gedeelde resources
- Stel vast:
-
Isoleer de getroffen hosts
- Direct:
- Isoleer hosts via de EDR
- Koppel ze los van het netwerk als de EDR niet beschikbaar is
- Voorkom SMB-toegang
- Direct:
-
Beperk lateral movement
- Beperk tijdelijk:
- SMB
- RDP
- PsExec
- WMI
- WinRM
- Admin shares
- Beperk tijdelijk:
-
Segmenteer de getroffen netwerken
- Isoleer getroffen VLAN's/subnetten
- Blokkeer waar mogelijk oost-westverkeer
- Beperk communicatie tussen servers
-
Bescherm kritieke infrastructuur
- Geef voorrang aan de bescherming van:
- Domain controllers
- Back-upinfrastructuur
- Hypervisors
- Identity providers
- Kritieke bedrijfsapplicaties
- Geef voorrang aan de bescherming van:
-
Verifieer de containment en segmentatie
- Bevestig dat geïsoleerde hosts niet meer extern of lateraal communiceren
- Bevestig dat geblokkeerde protocollen (SMB, RDP, PsExec, WMI, WinRM, admin shares) niet meer worden gebruikt
- Bevestig dat oost-westverkeer tussen gesegmenteerde VLAN's/subnetten is geblokkeerd
- Bevestig dat kritieke infrastructuur beschermd en onaangetast blijft
- Bevestig dat er na de containment geen nieuwe indicatoren van compromittering worden waargenomen
- Gaat de activiteit door, vergroot dan de scope van de containment en verifieer opnieuw
3. Na afloop
- Documenteer alle uitgevoerde acties in het incidentticket, met het tijdstip van elke actie
Bijdrager
Vishal Thakur GitHub: https://github.com/malienist
Jayden Vo GitHub: https://github.com/jayden-vo
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.