RB-RECOVERY-007: Validatie van het verhelpen van een kwetsbaarheid

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Validatie van het verhelpen van een kwetsbaarheid
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

De herstelactiviteiten voor de kwetsbaarheid zijn afgerond
Toegang tot het vulnerability management-platform
Toegang tot de getroffen systemen
Toegang tot de assetinventaris
Toegang tot het patchmanagementplatform
Toegang tot de SIEM
Toegang tot het EDR-platform
Toegang tot de eigenaren van applicaties of diensten
Bijgewerkte inventaris van kwetsbare assets
Incident- of registratieticket aangemaakt

2. Stap-voor-stap-instructies

Review de herstelactiviteiten
- Review:
  - Toegepaste patches
  - Doorgevoerde configuratiewijzigingen
  - Uitgeschakelde diensten
  - Uitgerolde securitymaatregelen
- Documenteer de afgeronde herstelactiviteiten.
Valideer de uitrol van patches
- Bevestig:
  - De patches zijn met succes geïnstalleerd
  - De juiste versies zijn uitgerold
  - De installatie is zonder fouten voltooid
- Documenteer de validatieresultaten.
Valideer de configuratiewijzigingen
- Review:
  - Beveiligingsconfiguraties
  - Wijzigingen in toegangscontrole
  - Netwerkbeperkingen
  - Beveiligingsinstellingen van applicaties
- Bevestig dat de beoogde wijzigingen zijn doorgevoerd.
Scan opnieuw op kwetsbaarheden
- Voer kwetsbaarheidsscans uit op de getroffen assets.
- Bevestig:
  - De kwetsbaarheid wordt niet meer gedetecteerd
  - Er zijn geen kritieke bevindingen meer
  - De scanresultaten zijn consistent over alle assets
- Documenteer de scanuitkomsten.
Review de securitytelemetrie
- Review:
  - SIEM-alerts
  - EDR-alerts
  - IDS/IPS-alerts
  - Alerts over applicatiebeveiliging
- Stel eventuele tekenen van aanhoudende blootstelling of exploitatie vast.
Valideer de werking van de diensten
- Bevestig:
  - De systemen werken
  - De applicaties werken normaal
  - De bedrijfsdiensten zijn beschikbaar
  - Er is geen onbedoelde operationele impact
- Documenteer de bevindingen.
Valideer de beperking van de blootstelling
- Bevestig:
  - De blootstelling aan internet is aangepakt
  - De tijdelijke containment-maatregelen blijven effectief
  - Kwetsbare paden zijn weggenomen
- Leg de validatieresultaten vast.
Beoordeel het restrisico
- Stel vast:
  - Resterende kwetsbaarheden
  - Openstaande herstelpunten
  - Geaccepteerde risico's
  - Compenserende maatregelen
- Documenteer de beoordeling van het restrisico.
Documenteer de validatieresultaten
- Leg vast:
  - Gevalideerde assets
  - Scanresultaten
  - Resultaten van operationele tests
  - Restrisico's
  - Openstaande acties
- Stel een samenvatting van het herstel op.
Escaleer en draag over
- Geef de bevindingen door aan de Incident Commander en de Technical Lead.
- Stem af met:
  - Het vulnerability management-team
  - De systeemeigenaren
  - De securityleiding
- Werk het incidentrecord bij met alle bevindingen en validatieresultaten.

3. Na afloop

Zorg dat alle validatieresultaten zijn vastgelegd.
Bewaar de rapporten van kwetsbaarheidsscans en ondersteunend bewijs.
Leg alle restrisico's en geaccepteerde risico's vast.
Voeg de validatierapporten toe aan het incidentrecord.
Volg openstaande herstelpunten tot ze zijn afgerond.
Werk zo nodig de vulnerability management-registratie bij.
Neem zo nodig deel aan de post-incidentreview.

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.