RB-RECOVERY-004: Mitigatie van blootstelling

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Mitigatie van blootstelling
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Afgeronde beoordeling van de impact op gevoelige data
Afgeronde containment-activiteiten
Vastgestelde blootgestelde datasets en systemen
Toegang tot de beheerplatforms van de cloud
Toegang tot de beheerplatforms van SaaS-diensten
Toegang tot de identity provider (IdP)
Toegang tot de platforms voor secrets management
Toegang tot de getroffen systemen en applicaties
Goedkeuring van de Incident Commander en relevante stakeholders (indien vereist)

2. Stap-voor-stap-instructies

Review de beoordeling van de blootstelling
- Review:
  - Getroffen datasets
  - Getroffen systemen
  - Getroffen gebruikers
  - Blootstellingspaden
  - Overwegingen rond regelgeving
- Bevestig de prioriteiten voor de recovery.
Verwijder publieke toegang
- Stel vast en verwijder:
  - Openbare deellinks
  - Anonieme toegangslinks
  - Publieke repositories
  - Publieke objecten in cloudopslag
- Valideer dat de externe toegang is verwijderd.
Verwijder extern delen
- Review en verwijder:
  - Externe samenwerkers
  - Gastaccounts
  - Toegang van derden
  - Ongeautoriseerde deelrechten
- Documenteer alle toegangswijzigingen.
Roteer blootgestelde credentials
- Roteer:
  - Credentials van gebruikers
  - Credentials van service accounts
  - Beheercredentials
  - Gedeelde credentials
- Valideer dat de wijzigingen zijn gelukt.
Roteer blootgestelde secrets
- Roteer:
  - API-sleutels
  - Access tokens
  - Certificaten
  - Applicatiesecrets
  - Cloud access keys
- Bevestig dat de vervangende secrets correct werken.
Verwijder ongeautoriseerde integraties
- Stel vast en verwijder:
  - OAuth-applicaties
  - Integraties van derden
  - Service accounts
  - Niet-goedgekeurde automatiseringsworkflows
- Valideer de verwijdering en het intrekken van de toegang.
Review en herstel de toegangscontroles
- Review:
  - Rechten
  - Roltoewijzingen
  - Deelbeleid
  - Security groups
- Herstel de toegangscontroles naar goedgekeurde configuraties.
Valideer het herstel van de blootstelling
- Bevestig:
  - Blootstellingspaden zijn gesloten
  - Externe toegang is verwijderd
  - Credentials zijn geroteerd
  - Secrets zijn vervangen
  - Toegangscontroles werken zoals bedoeld
- Documenteer de validatieresultaten.
Monitor op restrisico
- Monitor op:
  - Hergebruik van blootgestelde credentials
  - Aanhoudende toegangspogingen
  - Ongeautoriseerde deelactiviteit
  - Verdachte authenticatieactiviteit
- Escaleer nieuwe bevindingen.
Escaleer en draag over
- Geef de recoverystatus door aan de Incident Commander.
- Stem af met:
  - Zakelijke stakeholders
  - Data-eigenaren
  - Legal & Compliance
- Werk het incidentrecord bij met alle uitgevoerde acties.

3. Na afloop

Zorg dat alle acties om de blootstelling te beperken zijn vastgelegd.
Leg alle herstelde credentials, secrets en integraties vast.
Bewaar bewijs dat de herstelactiviteiten onderbouwt.
Bevestig dat alle vastgestelde blootstellingspaden zijn aangepakt.
Voeg de validatieresultaten toe aan het incidentrecord.
Neem zo nodig deel aan de post-incidentreview en hardening-activiteiten.

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.