RB-TRIAGE-002: Triage van EDR-alerts

Documentbeheer

1. Vereisten

• EDR-alerts
• Endpoint-telemetrie
• Gegevens over procesuitvoering
• Hashes van bestanden
• Gebruikers- en hostinformatie
• Verrijking met threat intelligence

Benodigde tools:

• EDR-platform
• SIEM
• Threat intelligence-platform
• Assetinventaris
• Authenticatietelemetrie

2. Stap-voor-stap-instructies

Veelgemaakte fouten

• Gedragsdetecties te snel als false positive afdoen
• Geblokkeerde malware-activiteit negeren
• De bredere scope niet beoordelen

1. Valideer de echtheid van de alert

   • Stel vast:
     • De bron van de alert
     • Het type detectie
     • Het betrouwbaarheidsniveau
     • Of het om preventie of alleen detectie gaat

   Review: - Detectiesignaturen - Gedragsindicatoren - Metadata van de alert

2. Stel het getroffen endpoint vast

   • Verzamel:
     • Hostnaam
     • IP-adres
     • Aangemelde gebruiker
     • Kritiek van het apparaat
     • Besturingssysteem
     • Zakelijke eigenaar

3. Review malware-indicatoren

   • Stel vast:
     • Hashes van bestanden
     • Procesnamen
     • Command line-argumenten
     • Parent-child-procesketens
     • Netwerkverbindingen

4. Beoordeel de uitvoeringsstatus

   • Stel vast:
     • Is de malware geblokkeerd?
     • Is de uitvoering geslaagd?
     • Is de malware nog actief?
     • Is er persistence ontstaan?

5. Beoordeel de mogelijke scope

   • Review:
     • Vergelijkbare detecties in de omgeving
     • Activiteit met dezelfde hash of hetzelfde proces
     • Gedeelde gebruikersactiviteit
     • Gebruik van gedeelde infrastructuur

6. Bepaal de severity

   • Beoordeel:
     • Mogelijkheden van de malware
     • Potentieel voor credential theft
     • Indicatoren van lateral movement
     • Persistence-mechanismen
     • Betrokkenheid van kritieke systemen

3. Na afloop

• Zorg dat alle geanalyseerde headers, geëxtraheerde IOC's en het eerste oordeel in het incidentticket zijn vastgelegd

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.