Arcana IR-documentatie · Nederlandse vertaling English

RB-CONTAIN-005: Intrekken van sessies & tokens

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Intrekken van sessies & tokens
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Authenticatietelemetrie
Inventaris van sessies
OAuth-telemetrie
Logs van de identity provider
Toegang tot de identity provider
Toegang tot het OAuth-beheerplatform
Toegang tot de SIEM
Toegang tot de beheerconsoles van SaaS-diensten

2. Stap-voor-stap-instructies

Veelgemaakte fouten

Wachtwoorden resetten zonder sessies in te trekken

Mobiele of API-sessies negeren

Persistence via OAuth missen

Stel de actieve sessies vast
- Review:
  - Browsersessies
  - Mobiele sessies
  - OAuth-sessies
  - API-sessies
  - VPN-sessies
Trek sessies in
- Voer uit:
  - Globaal afmelden
  - Ongeldig maken van browsersessies
  - Beëindigen van VPN-sessies
  - Intrekken van SaaS-sessies
Trek tokens in
- Maak ongeldig:
  - Refresh tokens
  - OAuth-access tokens
  - API-tokens
  - Blijvende sessies
Verwijder ongeautoriseerde toegang
- Review en verwijder:
  - Onbekende apparaten
  - Verdachte browsersessies
  - Onbekende API-integraties
  - Blijvende goedkeuringen voor aanmelden
Valideer dat het intrekken is gelukt
- Bevestig:
  - Sessies zijn beëindigd
  - Tokens zijn ongeldig gemaakt
  - Er is geen verdere activiteit van de aanvaller
  - Opnieuw aanmelden is vereist

3. Na afloop

Documenteer alle containment-stappen in het incidentticket, met het tijdstip van elke actie

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.