RB-CONTAIN-011: Apparaat op afstand vergrendelen & wissen

Documentbeheer

1. Vereisten

• Incident met een verloren of gestolen apparaat
• Afgeronde validatie van het verloren of gestolen apparaat
• Identificatie van het apparaat beschikbaar:
  • Hostnaam
  • Serienummer
  • Assettag
  • Identificatie van het mobiele apparaat
• Toegang tot het MDM-platform
• Toegang tot het EDR-platform
• Toegang tot de assetinventaris
• Toegang tot de identity provider (IdP)
• Goedkeuring van de Incident Commander (indien vereist)
• Incidentticket aangemaakt

2. Stap-voor-stap-instructies

1. Bevestig de apparaatgegevens

   • Verifieer:
     • Eigendom van het apparaat
     • Toegewezen gebruiker
     • Type apparaat
     • Beheerstatus van het apparaat
   • Bevestig dat het juiste apparaat is vastgesteld.

2. Review de huidige status van het apparaat

   • Stel vast:
     • Tijdstip van de laatste check-in
     • Huidige verbindingsstatus
     • Laatst bekende locatie
     • Gezondheidsstatus van het apparaat
   • Documenteer de bevindingen.

3. Beoordeel wat de containment vereist

   • Stel vast of:
     • Vergrendelen op afstand volstaat
     • Wissen op afstand nodig is
     • Aanvullende containment van accounts nodig is
   • Bevestig de scope van de containment met de Incident Commander.

4. Trek actieve toegang in

   • Trek in:
     • Actieve gebruikerssessies
     • Authenticatietokens
     • VPN-toegang
     • Vertrouwensrelaties van het apparaat
   • Bevestig dat het intrekken is gelukt.

5. Vergrendel het apparaat op afstand

   • Start de vergrendeling via het goedgekeurde beheerplatform.
   • Valideer:
     • Dat het vergrendelverzoek is verstuurd
     • Dat de uitvoering is geslaagd
   • Leg alle uitgevoerde acties vast.

6. Wis het apparaat op afstand

   • Start het wissen op afstand waar dat is toegestaan en nodig is.
   • Bevestig:
     • Dat het wisverzoek is verstuurd
     • Dat het wissen is bevestigd
     • De status van de voltooiing van het wissen (indien beschikbaar)
   • Documenteer de resultaten.

7. Verwijder de toegang van het apparaat

   • Verwijder:
     • Apparaatregistraties
     • Certificaten
     • Toegang van managed applicaties
     • Vertrouwen in conditional access
   • Valideer de verwijdering.

8. Monitor de status van het apparaat

   • Blijf monitoren op:
     • Check-ins van het apparaat
     • Aanmeldpogingen
     • Locatie-updates
     • Verbindingsstatus
   • Escaleer onverwachte activiteit.

9. Valideer de effectiviteit van de containment

   • Bevestig:
     • De toegang van het apparaat is ingetrokken
     • Vergrendelen of wissen is geslaagd
     • Gebruikerssessies zijn beëindigd
     • Het apparaat heeft geen toegang meer tot bedrijfsresources
   • Documenteer de validatieresultaten.

10. Escaleer en draag over

    • Geef de containment-status door aan de Incident Commander.
    • Stem af met:
      • Recovery-activiteiten
      • Assetmanagement
      • Fysieke beveiliging (indien van toepassing)
    • Werk het incidentrecord bij met alle uitgevoerde acties.

3. Na afloop

• Zorg dat alle containment-acties zijn vastgelegd.
• Bewaar logs en screenshots die het vergrendelen of wissen onderbouwen.
• Leg tijdstippen vast van alle uitgevoerde acties.
• Verifieer dat de vertrouwensrelaties van het apparaat zijn verwijderd.
• Voeg de validatieresultaten toe aan het incidentrecord.
• Neem zo nodig deel aan de recovery-activiteiten.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.