RB-POST-001: Hardening na een ransomware-incident

Documentbeheer

1. Vereisten

• Bevindingen uit de PIR
• Gaten in de detectie
• Rapport met de TTP-mapping
• Lessen uit de recovery
• Aanbevelingen aan de directie
• Toegang tot de SIEM
• Toegang tot het EDR-platform
• Toegang tot het vulnerability management-platform
• Toegang tot het identity management-platform
• Toegang tot netwerk-securitytooling

2. Stap-voor-stap-instructies

1. Review de grondoorzaak en het falen van maatregelen

   • Stel vast:
     • Falen bij initial access
     • Falen van de detectie
     • Zwaktes in de containment
     • Knelpunten in de recovery

2. Verbeter de dekking van de detectie

   • Voer in:
     • Nieuwe detectielogica
     • Uitgebreidere verzameling van telemetrie
     • Beter afgestelde alerts
     • Aanvullende huntcontent

3. Harden de identity-infrastructuur

   • Review:
     • Geprivilegieerde toegang
     • Dekking van MFA
     • Service accounts
     • Segmentatie van beheer

4. Verbeter de netwerksegmentatie

   • Versterk:
     • Beperkingen op oost-westverkeer
     • Isolatie van beheer
     • Isolatie van het back-upnetwerk
     • Scheiding van kritieke infrastructuur

5. Versterk de beveiliging van back-ups

   • Voer in:
     • Immutable back-ups
     • Mogelijkheid tot offline herstel
     • Monitoring van back-ups
     • Toegangsbeperkingen voor back-ups

6. Houd een lessons learned-review

   • Documenteer:
     • Wat goed werkte
     • Wat misging
     • Procesverbeteringen
     • Verbeteringen in tooling

3. Na afloop

• Zorg dat de doorgevoerde verbeteringen worden vastgelegd en gevolgd
• Neem de bevindingen uit de lessons learned-review op in het PIR-document

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.