RB-CONTAIN-007: Blokkeren van uitgaande overdracht

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Blokkeren van uitgaande overdracht
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Bevestigde of vermoedelijke actieve data-exfiltratie
Afgeronde analyse van uitgaand verkeer
Toegang tot de beheerplatforms van firewalls
Toegang tot de beheerplatforms van proxy's
Toegang tot de platforms voor DNS-filtering
Toegang tot cloud-securitytooling
Toegang tot netwerk-securitytooling
Toegang tot de SIEM
Lijst van vastgestelde:
- Bestemmings-IP-adressen
- Domeinen
- URL's
- Cloudopslagproviders
- SaaS-platforms
Goedkeuring van de Incident Commander voor containment-acties (indien vereist)

2. Stap-voor-stap-instructies

Stel de actieve exfiltratiepaden vast
- Review de onderzoeksbevindingen.
- Stel vast:
  - Bestemmings-IP-adressen
  - Domeinen
  - URL's
  - Cloudopslagdiensten
  - SaaS-applicaties
  - Overdrachtsprotocollen
- Documenteer alle vastgestelde overdrachtspaden.
Valideer de scope van de containment
- Stel vast:
  - Getroffen gebruikers
  - Getroffen systemen
  - Bedrijfsimpact van de blokkades
- Bevestig de scope van de containment met de Incident Commander.
Blokkeer netwerkbestemmingen
- Blokkeer de vastgestelde:
  - IP-adressen
  - Domeinen
  - URL's
- Gebruik:
  - Firewalls
  - Secure web gateways
  - Proxy's
  - Oplossingen voor DNS-filtering
- Valideer dat de uitrol is gelukt.
Blokkeer cloudopslagdiensten
- Beperk de toegang tot de vastgestelde cloudopslagproviders.
- Blokkeer:
  - Uploadfunctionaliteit
  - Synchronisatiediensten
  - Webgebaseerde overdrachtsmechanismen
- Valideer de handhaving op de getroffen assets.
Beperk overdrachten via SaaS
- Schakel uit of beperk:
  - Extern delen
  - Openbare links
  - Gasttoegang
  - Ongeautoriseerde bestandsoverdrachten
- Documenteer alle doorgevoerde wijzigingen.
Schakel ongeautoriseerde overdrachtsmechanismen uit
- Beperk:
  - FTP
  - SFTP
  - SCP
  - Tools voor beheer op afstand
  - Tools voor bestandssynchronisatie
- Verwijder of schakel ongeautoriseerde overdrachtskanalen waar mogelijk uit.
Monitor op aanhoudende overdrachtspogingen
- Review:
  - Firewalllogs
  - Proxylogs
  - DNS-logs
  - Cloud-auditlogs
- Stel aanhoudende pogingen vast om met geblokkeerde bestemmingen te communiceren.
Valideer de effectiviteit van de containment
- Bevestig:
  - Actieve overdrachten zijn gestopt
  - Bestemmingen zijn onbereikbaar
  - Uploadpogingen worden geblokkeerd
  - Deelbeperkingen werken correct
- Documenteer de validatieresultaten.
Documenteer de containment-acties
- Leg vast:
  - Ingevoerde blokkades
  - Getroffen systemen
  - Beperkte diensten
  - Tijdstip van invoering
  - Validatieresultaten
- Bewaar ondersteunend bewijs.
Escaleer en draag over
- Geef de containment-status door aan de Incident Commander.
- Stem af met:
  - Recovery-activiteiten
  - Beoordeling van de impact op gevoelige data
  - Afstemming met toezicht en Legal
- Werk het incidentrecord bij met alle uitgevoerde acties.

3. Na afloop

Zorg dat alle ingevoerde blokkades zijn vastgelegd.
Zorg dat alle containment-acties in het incidentrecord staan.
Bewaar logs die aantonen dat de containment is gelukt.
Blijf monitoren op pogingen tot omzeiling.
Stem af met de recoveryteams voordat tijdelijke beperkingen worden opgeheven.
Neem zo nodig deel aan de post-incidentreview.

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.