RB-CONTAIN-008: Beperken van toegang van derden
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | Beperken van toegang van derden | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
Zorg voordat je met dit runbook begint voor het volgende:
- Compromittering of blootstelling van een derde partij is vastgesteld
- Er is een incidentticket aangemaakt
- De beoordeling van de blootstelling aan de derde partij is afgerond
- De getroffen leverancier is vastgesteld
- De zakelijke eigenaar is vastgesteld
- Er is een inventaris van de toegang van de leverancier
- Er is IAM-beheertoegang
- Waar nodig zijn goedkeuringen via change management verkregen
2. Stap-voor-stap-instructies
-
Stel de toegangspaden van de derde partij vast
Review en documenteer alle actieve toegangsmechanismen van de derde partij, waaronder:
- Gebruikersaccounts
- Geprivilegieerde accounts
- Service accounts
- API-integraties
- OAuth-applicaties
- Federatierelaties
- VPN-toegang
- Platforms voor beheer op afstand
- Cloudtoegang over accounts heen
- Toegang van managed service providers
- Gedeelde credentials
Maak een volledige inventaris van de actieve toegangspaden.
-
Beoordeel de bedrijfsimpact
Stel vast:
- De zakelijke afhankelijkheid van de derde partij
- De operationele impact van het intrekken van toegang
- Getroffen kritieke systemen
- Mogelijke verstoring van diensten
- Alternatieve ondersteuningsregelingen
Documenteer de impact en vraag waar nodig goedkeuring.
-
Beperk gebruikersaccounts van de derde partij
Review alle gebruikersaccounts van de derde partij.
Voer een of meer van de volgende uit:
- Accounts uitschakelen
- Accounts opschorten
- Geprivilegieerde rollen verwijderen
- Authenticatiemethoden beperken
- Toegangslocaties beperken
- Toegangstijden beperken
Documenteer alle uitgevoerde acties.
-
Trek actieve sessies in
Stel vast en trek in:
- Actieve cloudsessies
- SaaS-sessies
- VPN-sessies
- Gefedereerde sessies
- Beheersessies
Verifieer dat de sessies zijn beëindigd.
Documenteer de bevindingen.
-
Beperk service accounts
Review alle service accounts die bij de derde partij horen.
Waar passend:
- Schakel service accounts uit
- Verwijder rechten
- Roteer credentials
- Beperk de reikwijdte van de toegang
- Verwijder geprivilegieerde rollen
Valideer dat de toegang is ingetrokken.
-
Schakel integraties uit
Review en beperk:
- API-sleutels
- OAuth-applicaties
- Service-integraties
- SaaS-integraties
- Webhooks
- Automatiseringsplatforms
- Synchronisatiediensten
Waar passend:
- Schakel integraties uit
- Trek API-sleutels in
- Verwijder OAuth-consent
- Verwijder gedelegeerde toegang
Documenteer alle acties.
-
Beperk vertrouwensrelaties
Review en beperk:
- SAML-vertrouwensrelaties
- OIDC-vertrouwensrelaties
- Federatieconfiguraties
- Vertrouwen tussen tenants
- Cloudtoegang over accounts heen
- Connectiviteit met partners
Valideer dat de toegang is ingetrokken of beperkt.
Documenteer de bevindingen.
-
Valideer de containment
Bevestig:
- Accounts zijn uitgeschakeld
- Sessies zijn ingetrokken
- Tokens zijn ongeldig gemaakt
- Integraties zijn uitgeschakeld
- Vertrouwensrelaties zijn beperkt
Review de logs om zeker te zijn dat de toegang niet meer actief is.
Onderzoek eventuele aanhoudende activiteit.
-
Informeer stakeholders
Informeer:
- De zakelijke eigenaar
- Het team leveranciersmanagement
- Het identityteam
- Het cloudteam
- De securityleiding
- De Incident Commander
Communiceer:
- Ingevoerde beperkingen
- Bedrijfsimpact
- Verwachte duur
- Vereisten voor de recovery
Documenteer de notificaties.
-
Werk het incidentrecord bij
Leg vast:
- Gereviewde toegangspaden
- Uitgeschakelde accounts
- Ingetrokken sessies
- Beperkte service accounts
- Uitgeschakelde integraties
- Beperkte vertrouwensrelaties
- Bedrijfsimpact
- Notificaties aan stakeholders
Voeg ondersteunend bewijs toe.
3. Na afloop
Na afronding:
- Zorg dat alle beperkingen van de toegang van de derde partij zijn vastgelegd
- Zorg dat de effectiviteit van de containment is gevalideerd
- Zorg dat de bedrijfsimpact is vastgelegd
- Zorg dat de notificaties aan stakeholders zijn vastgelegd
- Zorg dat ondersteunend bewijs is toegevoegd
- Zorg dat het incidentticket is bijgewerkt
Bijdrager
Vishal Thakur GitHub: https://github.com/malienist
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.