RB-EVIDENCE-002: Acquisitie van host-logs

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Acquisitie van host-logs
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Identificatie van de getroffen host (hostnaam, asset-ID, IP, instance-ID)
Toestemming om logs te verzamelen van de host, van het EDR-platform en van een eventuele cloudprovider die de host host
Toegang tot:
- De host (lokaal, op afstand, via EDR live response of via de cloudconsole)
- Het EDR-platform waarmee de host wordt beheerd
- De SIEM / het centrale logplatform
- De console / API van de cloudprovider (AWS, Azure, GCP) als de host in de cloud draait

Benodigde tools:

EDR-platform / live response-functie voor de betreffende agent (bijv. CrowdStrike RTR, SentinelOne, Defender for Endpoint, Carbon Black)
OS-eigen tooling voor het verzamelen van logs:
- Windows: wevtutil, PowerShell Get-WinEvent, KAPE of een vergelijkbare triage-collector
- Linux: journalctl, tar/gzip over /var/log of een vergelijkbare triage-collector
- macOS: log collect, sysdiagnose of een vergelijkbare triage-collector
CLI / logexporttooling van de cloudprovider (AWS CLI, Azure CLI, gcloud)
Hashingtool (SHA-256)
Veilig overdrachtspad naar de opslag voor bewijsmateriaal

2. Stap-voor-stap-instructies

Veelgemaakte fouten

De host herstarten of opnieuw installeren voordat de logs zijn verzameld (wist vluchtige en roterende logs)

Uit maar één bron verzamelen (bijv. EDR-telemetrie) en categorieën missen die alleen in OS-eigen of applicatielogs staan

Logrotatie relevante regels laten overschrijven tijdens het responsvenster

Control plane-logs vergeten voor instances in de cloud (CloudTrail, Azure Activity, GCP Admin Activity)

Geen metadata of hashes van de acquisitie vastleggen

De chain of custody kwijtraken tijdens de overdracht

Valideer de noodzaak en scope van de logacquisitie
- Bevestig dat de host binnen de scope van het incident valt en stel het relevante tijdvenster vast
- Stel vast of de host on-premises, virtueel of in de cloud draait (dat bepaalt of stap 4 van toepassing is)
- Stel logs waar mogelijk eerst centraal veilig (EDR-console, SIEM, cloud-logging) om je in te dekken tegen manipulatie of rotatie op de host
Verzamel relevante logs van hostactiviteit
- Stel vast welke categorieën activiteit relevant zijn voor het incident en verzamel die uit de bron op de host waar ze staan (telemetrie van de EDR-agent, OS-eigen logs, applicatielogs, SIEM-export). Veelvoorkomende categorieën en waar ze per besturingssysteem meestal staan:
  - Procesuitvoering (aanmaken van processen, command line, parent-proces, gebruikerscontext)
    - Windows: EDR-telemetrie, Sysmon Event ID 1, Security-log 4688
    - Linux: EDR-telemetrie, auditd-execve-records, /var/log/audit/audit.log
    - macOS: EDR-telemetrie, gebeurtenissen van het Endpoint Security-framework, unified log (log collect)
  - Bestandssysteemgebeurtenissen (schrijven, hernoemen, verwijderen - vooral in gebruikersprofiel-, temp- en systeemmappen)
    - Windows: EDR-telemetrie, Sysmon Event ID 11/23/26, Security-log 4663
    - Linux: EDR-telemetrie, auditd file watches, /var/log/audit/audit.log
    - macOS: EDR-telemetrie, Endpoint Security-bestandsgebeurtenissen, FSEvents
  - Netwerkverbindingen (uitgaande verbindingen, DNS-lookups, luisterende poorten)
    - Windows: EDR-telemetrie, Sysmon Event ID 3/22, Windows Firewall-log, DNS Client-log
    - Linux: EDR-telemetrie, /var/log/syslog of journalctl, conntrack, resolverlogs
    - macOS: EDR-telemetrie, netwerksubsysteem van de unified log, pf-firewalllog
  - Laden van modules / libraries
    - Windows: EDR-telemetrie, Sysmon Event ID 7
    - Linux: EDR-telemetrie, auditd-records over het laden van modules, /var/log/kern.log
    - macOS: EDR-telemetrie, Endpoint Security-gebeurtenissen over het laden van libraries
  - Configuratie- / persistence-wijzigingen
    - Windows: EDR-telemetrie, Sysmon Event ID 12/13/14 (registry), Task Scheduler-log, Services-eventlog
    - Linux: EDR-telemetrie, auditd-watches op /etc/, cronlogs, systemd-journal
    - macOS: EDR-telemetrie, unified log, wijzigingen in LaunchAgent-/LaunchDaemon-plists
  - Activiteit van scripts en interpreters (PowerShell, WMI, cmd, bash, zsh, python)
    - Windows: EDR-telemetrie, PowerShell Operational-log (4103/4104), WMI-Activity-log, Security-log 4688
    - Linux: EDR-telemetrie, shellgeschiedenis (.bash_history, .zsh_history), auditd-execve
    - macOS: EDR-telemetrie, shellgeschiedenis, unified log
  - Authenticatie- en aanmeldgebeurtenissen
    - Windows: EDR-telemetrie, Security-log (4624/4625/4634/4672), RDP-/TerminalServices-logs
    - Linux: EDR-telemetrie, /var/log/auth.log of /var/log/secure, journalctl _COMM=sshd, last/wtmp
    - macOS: EDR-telemetrie, auth-subsysteem van de unified log, /var/log/asl/
  - Detecties, preventies en quarantaine-acties op de host door de EDR of ingebouwde bescherming (Defender, XProtect, ClamAV, enz.)
  - Relevante applicatie- / servicelogs voor het incident (webserver, database, identity-agent, back-upagent, eigen applicatie)
- Doorzoek of exporteer per relevante categorie bij voorkeur uit de SIEM/EDR waar de data al centraal staat; val terug op verzamelen op de host als dat niet zo is
- Verzamel je op de host, herstart of zet de host dan niet uit en draai geen onnodige tools tijdens het verzamelen
- Leg per verzamelde categorie de query, het tijdvak en de export-/toegangslocatie vast
Verzamel centrale logs uit de SIEM
- Exporteer de overeenkomende gebeurtenissen voor de host over het incidentvenster uit de SIEM of het centrale logplatform
- Neem eventuele verrijkte of gecorreleerde alerts voor de host mee
- Leg de query, het tijdvak en de exportlocatie vast
Verzamel logs van de cloudprovider (alleen voor instances in de cloud)
- Exporteer voor de getroffen instance de control plane- en data plane-logs over het incidentvenster bij de betreffende provider:
  - AWS: CloudTrail (management + data events), VPC Flow Logs, GuardDuty-bevindingen, toegangslogs van de EC2 instance metadata service (IMDS), CloudWatch Logs-streams van de instance (systeem + applicatie), geschiedenis van Systems Manager-sessies/run-commands
  - Azure: Azure Activity Log, aanmeld- en auditlogs van Microsoft Entra ID, NSG Flow Logs, alerts van Microsoft Defender for Cloud, data uit de Azure Monitor- / Log Analytics-workspace voor de VM (systeem + applicatie), geschiedenis van Run Command / Serial Console
  - GCP: Cloud Audit Logs (Admin Activity, Data Access, System Event, Policy Denied), VPC Flow Logs, bevindingen van Security Command Center, Cloud Logging-items voor de instance (systeem + applicatie), geschiedenis van OS Login / serial console / gcloud compute ssh
- Beperk de queries tot de instance-ID, de private/publieke IP's en eventuele gekoppelde service accounts of instance roles
- Leg per extract de query, het tijdvak en de exportlocatie vast
Verpak en hash de verzamelde logs
- Bundel de verzamelde logs per host in één gecomprimeerd archief, geordend naar bron (EDR, OS, applicatie, SIEM, cloud)
- Bereken een SHA-256-hash van het archief
- Verifieer dat het archief te openen is en niet nul bytes groot is voordat je de host vrijgeeft

3. Na afloop

Zet het archief via een veilig pad over naar de aangewezen opslaglocatie voor bewijsmateriaal
Verifieer dat de SHA-256-hash vóór en na de overdracht overeenkomt
Leg de metadata van de acquisitie vast: uitvoerder, tijdstip, host, verzamelde bronnen, tijdvak, gebruikte tools en toolversies, en de SHA-256-hash van het resulterende archief
Bevestig dat de chain of custody van begin tot eind is vastgelegd (verzamelen → overdracht → opslag)
Draag over aan de analist die de logs gaat reviewen en werk het incidentticket bij met de verwijzing naar het bewijsmateriaal

Bijdrager

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.