RB-RECOVERY-001: Coördinatie van recovery & herstel
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | Coördinatie van recovery & herstel | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
- Lijst met recovery-prioriteiten
- Validatiestatus van de back-ups
- Containment-status
- Overzicht van infrastructuurafhankelijkheden
- Beoordeling van de bedrijfsimpact
- Toegang tot het back-upplatform
- Toegang tot het virtualisatieplatform
- Toegang tot de assetinventaris
- Toegang tot de SIEM
- Toegang tot het EDR-platform
2. Stap-voor-stap-instructies
-
Valideer de containment-status
- Bevestig dat de lateral movement is gestopt
- Bevestig dat persistence-mechanismen zijn aangepakt
- Bevestig dat geprivilegieerde toegang is gereviewd
- Bevestig dat gecompromitteerde systemen zijn geïsoleerd
-
Stel prioriteiten voor de recovery
- Herstel op basis van bedrijfskritiek
- Herstel op basis van de volgorde van afhankelijkheden
- Herstel op basis van infrastructuurvereisten
- Herstel op basis van de haalbaarheid van herstel
-
Plan de recovery
- Stel per systeem binnen de scope de RTO/RPO vast op basis van de bedrijfsimpact
- Bepaal per systeem de herstelmethode (terugzetten uit back-up, opnieuw opbouwen vanuit een gold image, opnieuw uitrollen vanuit IaC, opnieuw inrichten in een schoon account/schone tenant)
- Breng de afhankelijkheden tussen systemen in kaart en bevestig dat de herstelvolgorde daarmee rekening houdt
- Stel per fase succescriteria vast (systeem bereikbaar, dienst reageert, end-to-end-proces gevalideerd)
- Stel per fase een rollbackplan op
- Bevestig dat mensen, tooling en ondersteuning door leveranciers beschikbaar zijn in het geplande uitvoeringsvenster
- Stem het plan af met de Incident Commander en het communicatieplan voor stakeholders
-
Coördineer een gefaseerd herstel
- Deel het herstel op in fasen (meestal: kerninfrastructuur → identity → kritieke applicaties → endpoints van gebruikers), op basis van het plan uit stap 3
- Zet voor elk systeem binnen de scope het passende runbook per systeem in (bijv. RB-RECOVERY-002 voor herinstallatie van een systeem, RB-RECOVERY-003 voor het herstel van gebruikerstoegang)
- Ga pas door naar de volgende fase als de huidige fase is gevalideerd (stap 5)
- Volg per fase de voortgang en blokkades
-
Valideer de herstelde systemen
- Controleer de werking van het systeem
- Controleer op indicatoren van compromittering (malware, persistence, ongeautoriseerde toegang, gewijzigde configuratie)
- Controleer de integriteit van de authenticatie
- Controleer de netwerkconnectiviteit
-
Monitor op herhaling
- Monitor de EDR-telemetrie
- Monitor op afwijkingen in de authenticatie
- Monitor op activiteit die overeenkomt met de IOC's en TTP's van het incident
- Monitor op verdacht uitgaand verkeer
-
Sluit systemen voorzichtig weer aan
- Koppel gesegmenteerde systemen geleidelijk weer aan
- Herstel vertrouwensrelaties geleidelijk
- Zet netwerkpaden geleidelijk weer open
3. Na afloop
- Documenteer alle coördinatieacties, besluiten en uitkomsten per fase in het incidentticket, inclusief tijdstippen
- Bevestig dat alle systemen binnen de scope een afgesloten status hebben (hersteld / herinstallatie uitgesteld / uit gebruik genomen / risico geaccepteerd)
- Laat de Incident Commander weten dat de coördinatie van de recovery is afgerond
Bijdrager
Vishal Thakur GitHub: https://github.com/malienist
Jayden Vo GitHub: https://github.com/jayden-vo
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.