RB-POST-002: Hardening tegen data-exfiltratie

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Hardening tegen data-exfiltratie
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Het incident is verklaard als ingedamd en hersteld
Afgeronde post-incidentreview (PIR)
Afgeronde beoordeling van de impact op gevoelige data
De grondoorzaak is vastgesteld of redelijk begrepen
De bestaande securitymaatregelen zijn gedocumenteerd
Toegang tot de relevante security-, cloud- en SaaS-platforms
Goedkeuring van stakeholders voor de herstelactiviteiten (indien vereist)

2. Stap-voor-stap-instructies

Review de incidentbevindingen
- Review:
  - Grondoorzaak
  - Aanvalspad
  - Exfiltratiemethode
  - Getroffen systemen
  - Getroffen datasets
  - Falen van bestaande maatregelen
- Documenteer alle vastgestelde gaten in de beveiliging.
Review de toegangscontroles op data
- Beoordeel:
  - Gebruikersrechten
  - Groepslidmaatschappen
  - Beheerrechten
  - Modellen voor gedeelde toegang
- Stel vast waar onnodige toegang kan worden teruggebracht.
Review de dekking van dataclassificatie
- Valideer dat gevoelige data op de juiste manier is:
  - Geïdentificeerd
  - Geclassificeerd
  - Gelabeld
  - Beschermd
- Documenteer de gaten in de classificatie.
Review de maatregelen voor data loss prevention
- Beoordeel:
  - DLP-beleid
  - DLP-alerting
  - DLP-dekking
  - DLP-handhavingsacties
- Stel verbetermogelijkheden vast.
Review de securitymaatregelen in cloud en SaaS
- Beoordeel:
  - Maatregelen rond delen
  - Maatregelen rond gasttoegang
  - Instellingen voor externe samenwerking
  - Governance van OAuth-applicaties
  - Maatregelen voor dataretentie
- Stel de benodigde hardening-activiteiten vast.
Review de dekking van monitoring en detectie
- Beoordeel:
  - Detecties van exfiltratie
  - Monitoring van cloudactiviteit
  - Monitoring van SaaS-activiteit
  - Monitoring van authenticatie
  - Monitoring van datatoegang
- Stel de gaten in de detectie vast.
Voer goedgekeurde hardening-maatregelen door
- Voer door:
  - Verbeteringen in toegangscontrole
  - Verbeteringen in monitoring
  - DLP-verbeteringen
  - Verbeteringen in cloudbeveiliging
  - Verbeteringen in SaaS-beveiliging
  - Verbeteringen in logging
- Documenteer alle wijzigingen.
Valideer de effectiviteit van de maatregelen
- Bevestig:
  - De maatregelen werken correct
  - Nieuwe detecties geven de verwachte alerts
  - De toegangsbeperkingen zijn effectief
  - De dekking van de monitoring is verbeterd
- Documenteer de validatieresultaten.
Werk de documentatie bij
- Werk bij:
  - Playbooks
  - Runbooks
  - SOP's
  - Detectiedocumentatie
  - Securitystandaarden
- Zorg dat de lessons learned zijn verwerkt.
Escaleer en draag over
- Geef een samenvatting van de hardening aan:
  - De Incident Commander
  - De securityleiding
  - De systeemeigenaren
  - Relevante stakeholders
- Werk het incidentrecord bij met alle uitgevoerde acties.
- Volg openstaande herstelpunten tot ze zijn afgerond.

3. Na afloop

Zorg dat alle herstelacties zijn vastgelegd.
Zorg dat alle vastgestelde gaten in de beveiliging tot sluiting worden gevolgd.
Leg alle doorgevoerde beveiligingsverbeteringen vast.
Voeg de validatieresultaten toe aan het incidentrecord.
Werk de relevante securitymetrics en rapportages bij.
Neem zo nodig deel aan activiteiten voor continue verbetering.

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.