RB-RECOVERY-003: Herstel van gebruikers & toegang

Documentbeheer

1. Vereisten

• Bevestiging van de containment (alle sessies, tokens en credentials aangepakt)
• Status van het intrekken van sessies
• Status van de MFA-reset
• Bevindingen uit de beoordeling van de integriteit van de identiteit
• Toegang tot de identity provider
• Toegang tot het MFA-platform
• Toegang tot het platform voor endpointbeheer
• Toegang tot de SIEM
• Toegang tot de servicedesktooling

2. Stap-voor-stap-instructies

1. Valideer dat de containment is afgerond

   • Bevestig dat sessies zijn ingetrokken
   • Bevestig dat tokens ongeldig zijn gemaakt
   • Bevestig dat OAuth-misbruik is aangepakt
   • Bevestig dat onbekende apparaten zijn verwijderd
   • Bevestig dat credentials zijn gereset

2. Reset de credentials op een veilige manier

   • Eis een sterk wachtwoord
   • Eis dat MFA wordt afgedwongen
   • Eis verificatie van de identiteit
   • Eis dat hergebruik van wachtwoorden wordt voorkomen

3. Registreer MFA opnieuw

   • Valideer vertrouwde MFA-methoden
   • Valideer goedgekeurde apparaten
   • Valideer herstelmethoden
   • Valideer dat conditional access wordt afgedwongen

4. Herstel de toegang van de gebruiker

   • Zet de toegang tot de identity provider weer aan
   • Zet de toegang tot SaaS weer aan
   • Zet de VPN-toegang weer aan
   • Zet de toegang tot e-mail weer aan
   • Zet de beheertoegang weer aan (indien van toepassing)

3. Na afloop

• Leg in het incidentticket de methode van de credential-/MFA-reset vast, het soort herstelde toegang en een log met tijdstippen van alle acties.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.