RB-CONTAIN-013: BEC-mailboxcontainment

Documentbeheer

1. Vereisten

• Bevestigde compromittering van een mailbox
• Afgeronde onderzoeksactiviteiten rond de BEC
• Toegang tot het beheerplatform voor e-mail
• Toegang tot de identity provider
• Toegang tot de getroffen mailbox

2. Stap-voor-stap-instructies

1. Bevestig de getroffen mailbox

   • Verifieer de gegevens van het getroffen account.

2. Schakel de toegang van de aanvaller uit

   • Trek in:
     • Sessies
     • Tokens
     • Actieve authenticatie

3. Reset de credentials

   • Dwing een wachtwoordreset af.
   • Eis waar passend opnieuw registreren van MFA.

4. Verwijder kwaadaardige inbox rules

   • Verwijder:
     • Doorstuurregels
     • Regels die automatisch verwijderen
     • Verborgen regels

5. Verwijder het doorsturen van e-mail

   • Schakel uit:
     • Extern doorsturen
     • Verdachte doorstuurbestemmingen

6. Verwijder ongeautoriseerde toegang

   • Verwijder:
     • Gemachtigden (delegates)
     • Gedeelde toegang
     • OAuth-grants

7. Review de mailboxconfiguratie

   • Valideer:
     • Beveiligingsinstellingen
     • Instellingen voor e-mailstromen
     • Toegangscontroles

8. Monitor op aanhoudende activiteit

   • Review:
     • Aanmeldpogingen
     • Wijzigingen aan de mailbox
     • Nieuwe regels

9. Valideer de containment

   • Bevestig:
     • De toegang van de aanvaller is verwijderd
     • De mailbox is beveiligd
     • Er is geen kwaadaardige configuratie meer

10. Escaleer en draag over

    • Stem af met de recovery-activiteiten.
    • Werk het incidentrecord bij.

3. Na afloop

• Documenteer alle containment-acties.
• Bewaar bewijs van de kwaadaardige configuratie.
• Leg de validatieresultaten vast.
• Neem deel aan de recovery-activiteiten.

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.