RB-CONTAIN-006: MFA-reset & validatie

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	MFA-reset & validatie
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Logs van de identity provider
MFA-telemetrie
Logs van apparaatregistraties
Gegevens van het gebruikersaccount
Tijdlijn van de authenticatie
Toegang tot de identity provider
Toegang tot het MFA-platform
Toegang tot de SIEM
Toegang tot het platform voor mobile device management

2. Stap-voor-stap-instructies

Veelgemaakte fouten

Vertrouwde apparaten laten staan

Back-up- en herstelmethoden negeren

MFA opnieuw registreren zonder de identiteit te verifiëren

Review de bestaande MFA-configuratie
- Stel vast:
  - Geregistreerde MFA-methoden
  - Vertrouwde apparaten
  - Herstelmethoden
  - Goedkeuringen van pushmeldingen
  - Toewijzingen van hardwaretokens
Stel verdachte MFA-activiteit vast
- Review:
  - Pogingen tot MFA fatigue
  - Onverwachte goedkeuringen
  - Registraties van onbekende apparaten
  - Verdachte registratiegebeurtenissen
  - Omzeilingsactiviteit
Verwijder de bestaande MFA-registraties
- Reset:
  - Push-MFA
  - TOTP-apps
  - MFA via sms
  - Koppelingen met hardwaretokens
  - Back-up-/herstelmethoden
Valideer de vertrouwde apparaten
- Review:
  - Eigendom van het apparaat
  - Gezondheid van het apparaat
  - Compliancestatus van het apparaat
  - Tijdstippen van apparaatregistratie
Verwijder: - Onbekende apparaten - Niet-compliant apparaten - Verdachte apparaatregistraties
Registreer MFA opnieuw op een veilige manier
- Eis:
  - Een nieuwe MFA-registratie
  - Een geverifieerde gebruikersidentiteit
  - Goedgekeurde authenticatiemethoden
  - Validatie van de compliance van het apparaat
Valideer de integriteit van de authenticatie
- Bevestig:
  - MFA werkt correct
  - Er zijn geen onbekende apparaten meer
  - Er zijn geen blijvende goedkeuringen
  - Authenticatie-uitdagingen worden afgedwongen

3. Na afloop

Documenteer alle containment-stappen in het incidentticket, met het tijdstip van elke actie

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.