RB-EVIDENCE-006: Acquisitie van webapplicatielogs
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | Acquisitie van webapplicatielogs | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
- Getroffen applicatie, API, route, hostnaam, tenant of endpoint vastgesteld
- Incidentvenster vastgesteld in UTC
- Toegang tot logs van applicatie, edge, authenticatie, runtime en SIEM
- Opslaglocatie voor bewijsmateriaal beschikbaar
- Incidentticket aangemaakt
2. Stap-voor-stap-instructies
Veelgemaakte fouten
- Alleen WAF-alerts verzamelen
- Logs van API-gateway, CDN, identity of applicatie missen
- Logs met een korte bewaartermijn laten roteren
- Request-ID's, sessie-ID's, gebruikers-ID's of object-ID's kwijtraken die nodig zijn voor correlatie
-
Bevestig de scope
- Bevestig de getroffen applicatie, omgeving, routes, API's, tenants en het tijdvenster.
-
Verzamel edge-logs
- Exporteer logs van WAF, CDN, reverse proxy, load balancer, firewall, IDS/IPS, DNS en NetFlow.
- Bewaar bron-IP, user-agent, methode, URI, querystring, responscode, bytes, regel-ID en actie.
-
Verzamel applicatielogs
- Exporteer applicatie-, API-gateway-, toegangs-, fout-, audit- en framework-securitylogs.
- Bewaar request-ID's, gebruikers-ID's, tenant-ID's, sessie-ID's, authenticatie-uitkomsten, object-ID's en applicatiefouten.
-
Verzamel authenticatie- en sessielogs
- Exporteer activiteit van SSO, lokale authenticatie, MFA, tokens, API-sleutels en sessies voor de getroffen gebruikers of diensten.
-
Verzamel runtimelogs
- Exporteer waar van toepassing logs van webserver, containers, serverless, database, cache, queue, deployments en de cloud control plane.
-
Stel de status van de applicatie veilig
- Leg relevante configuratie, WAF-regels, routes, toegangscontroles, feature flags, deployments, verdachte uploads, web shells en gewijzigde inhoud vast.
-
Verpak het bewijsmateriaal
- Sla exports op per bron en tijdvak.
- Hash geëxporteerde bestanden waar van toepassing.
- Leg uitvoerder, exportmethode, query, locatie en hash vast.
-
Valideer de volledigheid
- Bevestig dat de verwachte bronnen en tijdvakken aanwezig zijn.
- Documenteer hiaten, sampling, ontbrekende logs, uitgeschakelde logging of bewaartermijnen.
3. Na afloop
- Zet het bewijsmateriaal over naar goedgekeurde opslag.
- Leg de metadata van het bewijsmateriaal en bekende hiaten vast in het incidentticket.
- Leg de gereedheid en locatie van het bewijsmateriaal vast in het incidentticket.
Bijdrager
Jayden Vo GitHub: https://github.com/jayden-vo
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.