RB-CONTAIN-012: Containment van het exploitatie-oppervlak

Documentbeheer

1. Vereisten

• Bevestigde exploitatieactiviteit
• Afgeronde analyse van de exploitatie
• Toegang tot de getroffen systemen
• Toegang tot het firewallbeheer
• Toegang tot het cloudbeheer
• Toegang tot het vulnerability management-platform
• Waar nodig goedkeuring voor containment-acties

2. Stap-voor-stap-instructies

1. Stel de geëxploiteerde assets vast

   • Bevestig de getroffen systemen.
   • Documenteer de exploitatievector.

2. Stel het blootstellingspad vast

   • Stel vast:
     • Diensten die aan internet hangen
     • Kwetsbare applicaties
     • Misconfiguraties
   • Documenteer de bevindingen.

3. Beperk externe toegang

   • Beperk:
     • Blootstelling aan internet
     • Publieke toegang
     • Onnodige netwerkpaden
   • Valideer de beperkingen.

4. Schakel kwetsbare diensten uit

   • Schakel uit:
     • Kwetsbare diensten
     • Getroffen applicaties
     • Blootgestelde interfaces
   • Documenteer de acties.

5. Pas tijdelijke mitigaties toe

   • Voer in:
     • Firewallregels
     • WAF-regels
     • Netwerkbeperkingen
     • Toegangscontroles
   • Valideer de uitrol.

6. Beperk beheertoegang

   • Beperk:
     • Beheertoegang
     • Toegang voor beheer op afstand
     • Toegang van derden
   • Documenteer de wijzigingen.

7. Monitor op aanhoudende activiteit

   • Review:
     • Exploitatiepogingen
     • Toegangspogingen
     • Netwerkactiviteit
   • Escaleer aanhoudende activiteit.

8. Valideer de containment

   • Bevestig:
     • Blootstellingspaden zijn weggenomen
     • Kwetsbare diensten zijn beperkt
     • De exploitatieactiviteit is gestopt
   • Documenteer de validatie.

9. Documenteer de containment-acties

   • Leg vast:
     • Getroffen systemen
     • Ingevoerde maatregelen
     • Validatieresultaten
   • Bewaar bewijsmateriaal.

10. Escaleer en draag over

    • Geef de containment-status door aan de Incident Commander.
    • Coördineer de recovery- en herstelactiviteiten.
    • Werk het incidentrecord bij.

3. Na afloop

• Zorg dat alle containment-acties zijn vastgelegd.
• Bewaar bewijs dat de containment onderbouwt.
• Leg openstaande herstelacties vast.
• Neem deel aan de recovery-activiteiten.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.