RB-RECOVERY-005: Herstel van vertrouwen in een derde partij

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Herstel van vertrouwen in een derde partij
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Zorg voordat je met dit runbook begint voor het volgende:

De containment-activiteiten van het incident zijn afgerond
De beperkingen van de toegang van derden zijn gevalideerd
De beoordeling van de blootstelling is afgerond
De analyse van de impact op de supply chain is afgerond
De herstelactiviteiten van de leverancier zijn afgerond
De risicobeoordeling is afgerond
De zakelijke eigenaar heeft goedkeuring gegeven
Het incidentticket is nog actief

2. Stap-voor-stap-instructies

Verifieer het herstel bij de derde partij

Verkrijg bewijs dat de derde partij:
- De onderzoeksactiviteiten heeft afgerond
- Het incident heeft ingedamd
- De toegang van de aanvaller heeft verwijderd
- Persistence-mechanismen heeft geëlimineerd
- Corrigerende maatregelen heeft doorgevoerd
- De herstelactiviteiten heeft afgerond
Review:
- Incidentrapporten van de leverancier
- Security advisories
- Herstelverklaringen
- Attestaties
- Communicatie van de directie
Documenteer de bevindingen.
Valideer het restrisico

Review:
- De beoordeling van de blootstelling
- De impactbeoordeling
- De herstelactiviteiten van de leverancier
- De zakelijke vereisten
- Compenserende maatregelen
Stel vast:
- Het niveau van het restrisico
- Benodigde aanvullende waarborgen
- Vereisten voor monitoring
Documenteer waar van toepassing de besluiten over risicoacceptatie.
Review de eerder beperkte toegang

Stel alle toegang vast die tijdens de containment is uitgeschakeld of beperkt:
- Gebruikersaccounts
- Service accounts
- Beheeraccounts
- API-integraties
- OAuth-applicaties
- SaaS-integraties
- SAML-vertrouwensrelaties
- OIDC-vertrouwensrelaties
- Cloudtoegang over accounts heen
- Oplossingen voor toegang op afstand door de leverancier
Maak een herstelinventaris.
Roteer credentials en secrets

Waar van toepassing:
- Roteer wachtwoorden
- Roteer credentials van service accounts
- Roteer API-sleutels
- Roteer OAuth-secrets
- Roteer certificaten
- Roteer access tokens
- Geef authenticatiesecrets opnieuw uit
Valideer dat de rotatie is gelukt.

Documenteer de uitgevoerde acties.
Herstel de toegang in fasen

Herstel de toegang gefaseerd.

Fase 1:
- Integraties met laag risico
- Alleen-lezentoegang
- Niet-geprivilegieerde toegang
Fase 2:
- Operationele diensten
- Standaard zakelijke toegang
- Applicatie-integraties
Fase 3:
- Beheertoegang
- Geprivilegieerde functionaliteit
- Integraties met hoge impact
Valideer elke fase voordat je doorgaat.
Herstel de vertrouwensrelaties

Herstel goedgekeurde vertrouwensrelaties, waaronder:
- SAML-federatie
- OIDC-federatie
- OAuth-applicaties
- API-integraties
- SaaS-integraties
- Vertrouwensrelaties in de cloud
- Connectiviteit voor toegang op afstand door de leverancier
Verifieer:
- De werking van de authenticatie
- De autorisatiemaatregelen
- De least privilege-configuratie
- De dekking van de logging
Documenteer de validatieresultaten.
Valideer de securitymaatregelen

Bevestig:
- Audit logging staat aan
- De monitoring werkt
- De alerting werkt
- De detectieregels werken
- De toegangscontroles werken
- Het conditional access-beleid wordt afgedwongen
Review:
- Authenticatielogs
- Auditlogs
- Logs van beheeractiviteit
Documenteer de bevindingen.
Monitor de herstelde toegang

Monitor op:
- Ongebruikelijke authenticatieactiviteit
- Excessief gebruik van privileges
- Onverwachte API-activiteit
- Ongeautoriseerde toegangspogingen
- Verdachte beheeracties
- Onverwachte configuratiewijzigingen
Onderzoek afwijkingen onmiddellijk.

Documenteer de uitkomsten van de monitoring.
Verkrijg goedkeuring van stakeholders

Verkrijg goedkeuring van:
- De zakelijke eigenaar
- Het team leveranciersmanagement
- De securityleiding
- De service-eigenaar
- Waar van toepassing het identityteam
Documenteer:
- Goedkeuringsbesluiten
- Resterende risico's
- Vereisten voor monitoring
- Openstaande acties
Leg de akkoordverklaring vast.
Werk het incidentrecord bij

Leg vast:
- Herstelde diensten
- Herstelde integraties
- Herstelde vertrouwensrelaties
- Uitgevoerde credential-rotaties
- Validatieresultaten
- Vereisten voor monitoring
- Goedkeuringen van stakeholders
- Restrisico's
Voeg ondersteunend bewijs toe.

3. Na afloop

Na afronding:

Zorg dat alle herstelde toegang is vastgelegd
Zorg dat de vertrouwensrelaties zijn gevalideerd
Zorg dat de monitoring werkt
Zorg dat de goedkeuringen van stakeholders zijn vastgelegd
Zorg dat de restrisico's zijn vastgelegd
Zorg dat ondersteunend bewijs is toegevoegd
Zorg dat het incidentticket is bijgewerkt

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.