RB-RECOVERY-002: Schone herinstallatie van systemen

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Schone herinstallatie van systemen
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

Applies to any single compromised system that needs to be brought back to a clean state — endpoints, servers, cloud VMs, containers, or SaaS tenants. Reconnection and access restoration are handled at the campaign level by the recovery coordination runbook.

1. Vereisten

Bevindingen uit de analyse van de compromittering (artefacten, persistence, IOC's)
Context over de kritiek van het systeem / de bedrijfsimpact
Toegang tot het beheerplatform van het doelsysteem (voor opschonen, herinstallatie en validatie)
Toegang tot EDR / securitytooling op het doelsysteem

2. Stap-voor-stap-instructies

Bepaal de aanpak van het herstel
- Beoordeel de ernst van de compromittering
- Beoordeel de persistence-mechanismen
- Beoordeel de kritiek van het systeem
- Beoordeel hoeveel vertrouwen er is in de mogelijkheid om op te schonen
- Stel vast of opschonen volstaat of dat volledige herinstallatie / opnieuw inrichten (aanbevolen) nodig is
Voer ofwel stap 2 (ter plekke opschonen) ofwel stap 3 (herinstallatie / opnieuw inrichten) uit, op basis van het besluit in stap 1. Voer niet beide uit.
Schoon op (alleen bij ter plekke opschonen)
- Verwijder kwaadaardige binaries
- Verwijder persistence-mechanismen
- Verwijder kwaadaardige services
- Verwijder ongeautoriseerde configuratiewijzigingen (registry, systeemconfiguratie, IAM-policies, applicatie-instellingen)
- Verwijder scheduled tasks / cron jobs / automatiseringstriggers
- Verwijder ongeautoriseerde accounts, API-sleutels, tokens of geïnstalleerde apps
Installeer opnieuw / richt opnieuw in (alleen bij herinstallatie)
- Voer naar gelang een volledige reimage, herbouw van de container, herinrichting van de VM of reset van de tenant uit
- Valideer het besturingssysteem / platform
- Installeer de securitytooling opnieuw
- Valideer de patches
Valideer de integriteit van het systeem
- Bevestig dat er geen actieve indicatoren van compromittering zijn
- Bevestig dat er geen persistence meer is
- Bevestig dat EDR / securitytooling werkt
- Bevestig dat de securitymaatregelen gezond zijn
- Bevestig dat de systeemactiviteit normaal is

3. Na afloop

Leg in het incidentticket het gekozen herstelpad (opschonen of herinstallatie) vast, met de onderbouwing en een log met tijdstippen van alle herstelacties.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.