RB-CONTAIN-014: Beperken van blootstelling aan een kwetsbaarheid

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Beperken van blootstelling aan een kwetsbaarheid
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Afgeronde validatie van de kwetsbaarheid
Afgeronde beoordeling van de blootstelling aan de kwetsbaarheid
Inventaris van getroffen assets beschikbaar
Toegang tot de beheerplatforms van firewalls
Toegang tot de beheerplatforms van de cloud
Toegang tot de platforms voor endpointbeheer
Toegang tot de platforms voor netwerkbeheer
Toegang tot het vulnerability management-platform
Toegang tot de getroffen systemen en applicaties
Incident- of registratieticket aangemaakt
Goedkeuring voor noodcontainment-acties (indien vereist)

2. Stap-voor-stap-instructies

Review de beoordeling van de blootstelling
- Review:
  - Details van de kwetsbaarheid
  - Getroffen assets
  - Blootstellingspaden
  - Bestaande mitigaties
  - Bedrijfsimpact
- Bevestig de prioriteiten voor de containment.
Stel de risicovolle assets vast
- Geef voorrang aan:
  - Assets die aan internet hangen
  - Productiesystemen
  - Kritieke bedrijfsdiensten
  - Geprivilegieerde infrastructuur
- Documenteer de scope van de containment.
Beperk externe toegang
- Beperk de blootstelling door:
  - Publieke toegang te beperken
  - De blootstelling aan het netwerk te beperken
  - Onnodige internettoegang weg te nemen
  - Beheerinterfaces af te schermen
- Valideer de beperkingen.
Voer tijdelijke securitymaatregelen in
- Rol tijdelijke maatregelen uit, zoals:
  - Firewallregels
  - WAF-regels
  - IDS/IPS-bescherming
  - Beperkingen in toegangscontrole
  - Netwerksegmentatie
- Documenteer alle ingevoerde maatregelen.
Schakel kwetsbare diensten uit
- Schakel uit of beperk:
  - Kwetsbare applicaties
  - Kwetsbare diensten
  - Onnodige functies
  - Blootgestelde interfaces
- Valideer de status van de dienst na de wijzigingen.
Beperk geprivilegieerde toegang
- Review en beperk:
  - Beheertoegang
  - Toegang van service accounts
  - Toegang van derden
  - Paden voor toegang op afstand
- Documenteer de doorgevoerde wijzigingen.
Vergroot de dekking van de monitoring
- Zet aan of verbeter:
  - Logging
  - Alerting
  - Regels voor dreigingsdetectie
  - Netwerkmonitoring
- Zorg dat de monitoring de getroffen assets dekt.
Valideer de beperking van de blootstelling
- Bevestig:
  - De blootstellingspaden zijn verkleind
  - De securitymaatregelen werken
  - Kwetsbare diensten zijn beperkt
  - De monitoring is actief
- Documenteer de validatieresultaten.
Documenteer de containment-acties
- Leg vast:
  - Getroffen systemen
  - Ingevoerde maatregelen
  - Toegepaste toegangsbeperkingen
  - Validatieresultaten
  - Bedrijfsimpact van de containment-acties
- Bewaar ondersteunend bewijs.
Escaleer en draag over
- Geef de containment-status door aan de Incident Commander en de Technical Lead.
- Stem af met:
  - Herstelteams
  - Systeemeigenaren
  - Infrastructuurteams
- Werk het incidentrecord bij met alle uitgevoerde acties.

3. Na afloop

Zorg dat alle containment-acties zijn vastgelegd.
Bewaar bewijs dat de activiteiten om de blootstelling te beperken onderbouwt.
Leg alle ingevoerde tijdelijke maatregelen vast.
Volg de openstaande herstelactiviteiten.
Voeg de validatieresultaten toe aan het incidentrecord.
Blijf de getroffen assets monitoren totdat het herstel is afgerond.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.